支援的產品和限制

本頁面提供 VPC Service Controls 支援的產品和服務表格，以及特定服務和介面的已知限制清單。

列出所有支援的服務

如要擷取 VPC Service Controls 支援的所有產品和服務完整清單，請執行下列指令：

gcloud access-context-manager supported-services list

您會收到回覆，其中列出產品和服務。

NAME                 TITLE             SERVICE_SUPPORT_STAGE   AVAILABLE_ON_RESTRICTED_VIP      KNOWN_LIMITATIONS
SERVICE_ADDRESS      SERVICE_NAME      SERVICE_STATUS          RESTRICTED_VIP_STATUS            LIMITATIONS_STATUS
.
.
.

這項回應包含下列值：

值 說明
SERVICE_ADDRESS 產品或服務的名稱。例如 aiplatform.googleapis.com。
SERVICE_NAME 產品或服務名稱。例如 Gemini Enterprise Agent Platform API。
SERVICE_STATUS 服務與 VPC Service Controls 的整合狀態。可能的值如下：
  • GA：VPC Service Controls 範圍完全支援服務整合。
  • PREVIEW：服務整合功能已可進行更廣泛的測試和使用，但 VPC Service Controls perimeter 尚未完全支援正式環境。
  • DEPRECATED：這項服務整合功能預計會停用並移除。
RESTRICTED_VIP_STATUS 指定受限制 VIP 是否支援與 VPC Service Controls 整合的服務。可能的值如下：
  • TRUE：這項服務整合功能完全支援受限制 VIP，且可受到 VPC Service Controls perimeter 保護。
  • FALSE：受限制 VIP 不支援服務整合。
如需受限制 VIP 支援的完整服務清單，請參閱「受限制 VIP 支援的服務」。
LIMITATIONS_STATUS 指出服務與 VPC Service Controls 整合時是否有任何限制。可能的值如下：
  • TRUE：這項服務與 VPC Service Controls 整合時，有已知限制。如要進一步瞭解這些限制，請查看「支援的產品」表格中服務的對應項目。
  • FALSE：與 VPC Service Controls 整合的服務沒有已知限制。

列出服務支援的方法

如要擷取 VPC Service Controls 支援的服務方法和權限清單，請執行下列指令：

gcloud access-context-manager supported-services describe SERVICE_ADDRESS

將 SERVICE_ADDRESS 替換為產品或服務的服務名稱。例如：aiplatform.googleapis.com。

您會收到內含方法和權限清單的回覆。

availableOnRestrictedVip: RESTRICTED_VIP_STATUS
knownLimitations: LIMITATIONS_STATUS
name: SERVICE_ADDRESS
serviceSupportStage: SERVICE_STATUS
supportedMethods:
METHODS_LIST
.
.
.
title: SERVICE_NAME

在這個回應中，METHODS_LIST 會列出 VPC Service Controls 支援指定服務的所有方法和權限。如需所有支援服務方法和權限的完整清單，請參閱「支援的服務方法限制」。

如要瞭解 VPC Service Controls 無法控管的服務方法，請參閱「服務方法例外狀況」。

支援的產品

VPC Service Controls 支援下列產品：

支援的產品 說明

Infrastructure Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 config.googleapis.com
詳細資訊

如要進一步瞭解 Infrastructure Manager，請參閱產品說明文件。
限制

如要在 perimeter 中使用 Infrastructure Manager，請按照下列步驟操作：

  • Infrastructure Manager 使用的工作站集區必須是 Cloud Build 私人集區。如不想啟用公開網際網路呼叫，請使用 Infra Manager 維護的 Terraform 供應商 Google Cloud，下載 HashiCorp 維護的 Terraform 供應商和設定。您無法使用預設的 Cloud Build worker 集區。
  • 下列項目必須位於相同 perimeter：
    • Infrastructure Manager 使用的服務帳戶。
    • Infrastructure Manager 使用的 Cloud Build worker 集區。
    • Infrastructure Manager 使用的儲存空間 bucket。您可以使用預設儲存空間 bucket。

App Design Center

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 designcenter.googleapis.com
詳細資訊

應用程式設計中心的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 App Design Center，請參閱產品說明文件。
限制

如要在 perimeter 中使用 App Design Center，請按照下列步驟操作：

  • App Design Center 使用的工作站集區必須是 Cloud Build 私人集區。 啟用公用網際網路通話，下載 HashiCorp 維護的 Terraform 供應商和設定。您無法使用預設的 Cloud Build worker 集區。
  • 下列資源必須在同一個範圍內受到限制：
    • 設定 App Design Center 的管理專案。
    • App Design Center 使用的 Cloud Build worker 集區。

詳情請參閱「 在安全 perimeter 中部署資源」。

Workload Identity API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 workloadidentity.googleapis.com
詳細資料

您可以使用 Workload Identity API，在指定專案、資料夾或機構中，觸發指定服務的服務代理程式建立作業。如果使用 perimeter 限制 Workload Identity API，就無法為 perimeter 內的專案觸發服務代理建立作業。無論要求中指定的服務為何，都是如此。

VPC Service Controls 不支援將資料夾層級或組織層級資源新增至 service perimeter。因此，您無法使用 perimeter 來防止使用者觸發資料夾或組織的服務代理建立作業。

如要進一步瞭解 Workload Identity API，請參閱產品說明文件。
限制

Workload Identity API 與 VPC Service Controls 整合時，沒有已知限制。

Workload Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 workloadmanager.googleapis.com
詳細資訊

如要在 VPC Service Controls 範圍內使用 Workload Manager，請按照下列步驟操作：

  • 您必須在 Workload Manager 中，為部署環境使用 Cloud Build 私人工作站集區。您無法使用預設的 Cloud Build worker 集區。
  • Cloud Build 私人集區必須啟用公開網際網路呼叫，才能下載 Terraform 設定。

詳情請參閱 Workload Manager 說明文件中的「 使用 Cloud Build 私人 worker 集區」。

如要進一步瞭解 Workload Manager，請參閱產品說明文件。
限制

請務必確認下列資源位於相同的 VPC Service Controls 服務範圍：

  • Workload Manager 服務帳戶。
  • Cloud Build 私人 worker 集區。
  • Workload Manager 用於部署作業的 Cloud Storage bucket。

Google Cloud NetApp Volumes

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 netapp.googleapis.com
詳細資料

Google Cloud NetApp Volumes 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Google Cloud NetApp Volumes，請參閱產品說明文件。

限制

VPC Service Controls 不涵蓋資料平面路徑，例如網路檔案系統 (NFS) 和伺服器訊息區塊 (SMB) 的讀取和寫入作業。此外，如果主專案和服務專案設定在不同的 perimeter， Google Cloud 服務的實作可能會中斷。

Google Cloud Search

狀態 正式發布
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudsearch.googleapis.com
詳細資訊

Google Cloud Search 支援虛擬私有雲安全控管 (VPC Service Controls)，可強化資料安全性。VPC Service Controls 可讓您定義 Google Cloud Platform 資源的安全範圍，藉此限制資料並降低資料竊取風險。

如要進一步瞭解 Google Cloud Search，請參閱產品說明文件。

限制

Cloud Search 資源並非儲存在 Google Cloud 專案中，因此您必須使用受虛擬私有雲範圍保護的專案，更新 Cloud Search 客戶設定。虛擬私有雲專案是所有 Cloud Search 資源的虛擬專案容器。如未建立這項對應，VPC Service Controls 將無法用於 Cloud Search API。

如要瞭解如何為 Google Cloud Search 啟用 VPC Service Controls，請參閱「強化 Google Cloud Search 的安全性」。

Cluster Director

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 hypercomputecluster.googleapis.com
詳細資料

VPC Service Controls 可協助保護 Cluster Director API，讓您在 service perimeter 內使用 Cluster Director。

如要進一步瞭解 Cluster Director，請參閱產品說明文件。
限制

Connectivity Tests

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 networkmanagement.googleapis.com
詳細資訊

Connectivity Tests 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Connectivity Tests，請參閱產品說明文件。
限制

Connectivity Tests 與 VPC Service Controls 整合時，沒有已知限制。

AI Platform Prediction

狀態
使用安全範圍保護？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ml.googleapis.com
詳細資訊

VPC Service Controls 支援線上預測，但不支援批次預測。

如要進一步瞭解 AI Platform Prediction，請參閱產品說明文件。
限制

  • 如要全面保護 AI 平台預測，請將下列所有 API 新增至 service perimeter：

    • AI 平台訓練和預測 API (ml.googleapis.com)
    • Pub/Sub API (pubsub.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
    • Google Kubernetes Engine API (container.googleapis.com)
    • Container Registry API (containerregistry.googleapis.com)
    • Cloud Logging API (logging.googleapis.com)

    進一步瞭解如何為 AI 平台預測服務設定 VPC Service Controls。

  • 在 service perimeter 內使用 AI 平台 Prediction 時，系統不支援批次預測。

  • AI Platform Prediction 和 AI Platform Training 都使用 AI Platform Training and Prediction API，因此您必須為這兩項產品設定 VPC Service Controls。進一步瞭解如何為 AI 平台訓練設定 VPC Service Controls。

AI 平台訓練

狀態
使用安全範圍保護？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ml.googleapis.com
詳細資訊

AI Platform Training 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 AI 平台訓練，請參閱產品說明文件。
限制

  • 如要全面保護 AI 平台訓練工作，請將下列所有 API 新增至 service perimeter：

    • AI 平台訓練和預測 API (ml.googleapis.com)
    • Pub/Sub API (pubsub.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
    • Google Kubernetes Engine API (container.googleapis.com)
    • Container Registry API (containerregistry.googleapis.com)
    • Cloud Logging API (logging.googleapis.com)

    進一步瞭解如何為 AI Platform Training 設定 VPC Service Controls。

  • 在 service perimeter 內使用 AI 平台訓練時，不支援使用 TPU 訓練。

  • AI 平台訓練和 AI 平台預測都使用 AI 平台訓練和 Prediction API，因此您必須為這兩項產品設定 VPC Service Controls。進一步瞭解如何為 AI 平台預測服務設定 VPC Service Controls。

AlloyDB for PostgreSQL

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 alloydb.googleapis.com
詳細資訊

VPC Service Controls 範圍可保護 AlloyDB API。

如要進一步瞭解 AlloyDB for PostgreSQL，請參閱產品說明文件。
限制

  • 服務周邊防護範圍僅限於 AlloyDB for PostgreSQL Admin API。無法保護透過 IP 存取基礎資料庫 (例如 AlloyDB for PostgreSQL 執行個體) 的資料。如要限制 AlloyDB for PostgreSQL 執行個體的公開 IP 存取權，請使用組織政策限制。
  • 為 AlloyDB for PostgreSQL 設定 VPC Service Controls 前，請先啟用 Service Networking API。
  • 如果您將 AlloyDB for PostgreSQL 與 Shared VPC 和 VPC Service Controls 搭配使用，主專案和服務專案必須位於相同的 VPC Service Controls 服務範圍。

Gemini Enterprise Agent Platform 的 Agent Runtime

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 aiplatform.googleapis.com
詳細資料

Gemini Enterprise Agent Platform 的 Agent Runtime API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Gemini Enterprise Agent Platform 的 Agent Runtime，請參閱產品說明文件。
限制

如要進一步瞭解限制，請參閱 Agent Platform 說明文件的限制。

Agent Platform Workbench

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 notebooks.googleapis.com
詳細資料

Agent Platform Workbench 的 API 可受 VPC Service Controls 保護，產品可在 service perimeter 內正常使用。

如要進一步瞭解 Agent Platform Workbench，請參閱產品說明文件。
限制

如要瞭解搭配使用 Agent Platform Workbench 與 VPC Service Controls 的限制，請參閱 Agent Platform Workbench 執行個體的 service perimeter、使用者自行管理的筆記本 service perimeter (已淘汰) 和代管筆記本的 service perimeter (已淘汰)。

Gemini Enterprise Agent Platform

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 aiplatform.googleapis.com
詳細資訊

Agent Platform 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

Colab Enterprise 是 Gemini Enterprise Agent Platform 的一部分。請參閱 Colab Enterprise。

如要進一步瞭解 Gemini Enterprise Agent Platform，請參閱產品說明文件。
限制

如要進一步瞭解限制，請參閱 Agent Platform 說明文件的限制。

Gemini Enterprise Agent Platform Vision

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 visionai.googleapis.com
詳細資訊

Gemini Enterprise Agent Platform Vision 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Gemini Enterprise Agent Platform Vision，請參閱產品說明文件。
限制
constraints/visionai.disablePublicEndpoint 啟用時，我們會停用叢集的公開端點。使用者必須手動連線至 PSC 目標，並從私人網路存取服務。您可以從 cluster 資源取得 PSC 目標。

Colab Enterprise

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 aiplatform.googleapis.com
詳細資料

Colab Enterprise 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

Colab Enterprise 是 Gemini Enterprise Agent Platform 的一部分。 請參閱「Agent Platform」。

Colab Enterprise 會使用 Dataform 儲存筆記本。請參閱「Dataform」。

如要進一步瞭解 Colab Enterprise，請參閱產品說明文件。
限制

如要瞭解限制，請參閱 Colab Enterprise 說明文件中的「已知限制」。

Agent Registry

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 agentregistry.googleapis.com
詳細資訊

Agent Registry 是集中式目錄，可讓您探索及註冊代理和 MCP 伺服器。

如要進一步瞭解代理程式登錄，請參閱產品說明文件。
限制

確認 Agent Registry 的專案和已啟用的 API 包含在 VPC Service Controls service perimeter 服務範圍內。

Apigee 和 Apigee Hybrid

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 apigee.googleapis.com,
apigeeconnect.googleapis.com
詳細資料

Apigee 和 Apigee hybrid 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Apigee 和 Apigee hybrid，請參閱產品說明文件。
限制

Apigee 與 VPC Service Controls 整合時，有下列限制：

  • 整合式入口網站需要額外步驟才能設定。
  • 您必須在 service perimeter 內部署 Drupal 入口網站。

Apigee API 中心

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 apihub.googleapis.com
詳細資訊

Apigee API 中心的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Apigee API 中心，請參閱產品說明文件。
限制
與 API 中心執行個體相關聯的所有 Apigee 執行階段專案，都必須與 API 中心主專案位於相同的 VPC Service Controls 服務範圍。

BigQuery sharing

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 analyticshub.googleapis.com
詳細資訊 VPC Service Controls 可保護資料交換和清單。如要使用 service perimeter 保護共用和連結的資料集，請使用 BigQuery API。詳情請參閱「共用 VPC Service Controls 規則」。

如要進一步瞭解 BigQuery sharing，請參閱產品說明文件。
限制
BigQuery 共用功能不支援以方法為基礎的規則，您必須允許所有方法。詳情請參閱「共用 VPC Service Controls 規則限制」。

Cloud Service Mesh

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 meshca.googleapis.com,
meshconfig.googleapis.com,
trafficdirector.googleapis.com,
networkservices.googleapis.com,
networksecurity.googleapis.com
詳細資料

Cloud Service Mesh 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

您可以使用 mesh.googleapis.com 啟用 Cloud Service Mesh 所需的 API。 您不需要限制 perimeter 中的 mesh.googleapis.com，因為這不會公開任何 API。

如要進一步瞭解 Cloud Service Mesh，請參閱產品說明文件。
限制

Cloud Service Mesh 與 VPC Service Controls 的整合沒有已知限制。

Artifact Registry

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 artifactregistry.googleapis.com
詳細資訊

除了保護 Artifact Registry API 之外，Artifact Registry 也可以與 GKE 和 Compute Engine 搭配使用，在 service perimeter 內運作。

如要進一步瞭解 Artifact Registry，請參閱產品說明文件。
限制
  • 如果 Artifact Registry 存放區使用 pkg.dev 網域，您必須設定 DNS，將 *.pkg.dev 對應至 private.googleapis.com 或 restricted.googleapis.com。詳情請參閱「保護 service perimeter 中的存放區」。

  • 除了 Artifact Registry 可用的 perimeter 內構件，所有專案 (無論服務範圍為何) 都能使用下列唯讀存放區：

    • gcr.io/anthos-baremetal-release
    • gcr.io/asci-toolchain
    • gcr.io/cloud-airflow-releaser
    • gcr.io/cloud-builders
    • gcr.io/cloud-dataflow
    • gcr.io/cloud-ingest
    • gcr.io/cloud-marketplace
    • gcr.io/cloud-ssa
    • gcr.io/cloudsql-docker
    • gcr.io/config-management-release
    • gcr.io/deeplearning-platform-release
    • gcr.io/foundry-dev
    • gcr.io/fn-img
    • gcr.io/gae-runtimes
    • gcr.io/serverless-runtimes
    • gcr.io/gke-node-images
    • gcr.io/gke-release
    • gcr.io/gkeconnect
    • gcr.io/google-containers
    • gcr.io/kubeflow
    • gcr.io/kubeflow-images-public
    • gcr.io/kubernetes-helm
    • gcr.io/istio-release
    • gcr.io/ml-pipeline
    • gcr.io/projectcalico-org
    • gcr.io/rbe-containers
    • gcr.io/rbe-windows-test-images
    • gcr.io/speckle-umbrella
    • gcr.io/stackdriver-agents
    • gcr.io/tensorflow
    • gcr.io/vertex-ai
    • gcr.io/vertex-ai-restricted
    • gke.gcr.io
    • k8s.gcr.io

    在所有情況下，這些存放區也提供區域版本。

Assured Open Source Software

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 assuredoss.googleapis.com
詳細資料

Assured Open Source Software 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Assured Open Source Software，請參閱產品說明文件。
限制
您必須設定輸出規則，才能在 service perimeter 內使用 Assured Open Source Software。詳情請參閱「 設定 VPC Service Controls 的 Assured Open Source Software 支援」。

Assured Workloads

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 assuredworkloads.googleapis.com
詳細資料

Assured Workloads 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Assured Workloads，請參閱產品說明文件。
限制
這個項目僅適用於 Assured Workloads API。您無法將組織層級的 Assured Workloads API 資源新增至 service perimeter。不過，部署在 Assured Workloads 資料夾中的 VPC Service Controls 支援服務會受到 perimeter 限制。這些支援服務的狀態會顯示在頁面上的對應項目中。

AutoML Translation

狀態
使用安全範圍保護？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 automl.googleapis.com,
eu-automl.googleapis.com
詳細資料

如要全面保護 AutoML API，請在 perimeter 中加入下列所有 API：

  • AutoML API (automl.googleapis.com)
  • Cloud Storage API (storage.googleapis.com)
  • Compute Engine API (compute.googleapis.com)
  • BigQuery API (bigquery.googleapis.com)

如要進一步瞭解 AutoML Translation，請參閱產品說明文件。
限制
  • 所有與 VPC Service Controls 整合的 AutoML 產品都使用相同的服務名稱。
  • 您無法將支援的區域端點 (例如 eu-automl.googleapis.com) 新增至 perimeter 的受限服務清單。保護 automl.googleapis.com 服務時，perimeter 也會保護支援的區域端點，例如 eu-automl.googleapis.com。

詳情請參閱「搭配使用 VPC Service Controls 與 AutoML 產品的限制」。

Bare Metal 解決方案

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 不可以。Bare Metal 解決方案的 API 無法受到 service perimeter 保護。不過，您可以在安全防護範圍內的專案中正常使用 Bare Metal 解決方案。
詳細資料

Bare Metal 解決方案 API 可新增至安全周邊。不過，VPC Service Controls perimeter 不會擴充至區域擴充功能中的 Bare Metal 解決方案環境。

如要進一步瞭解 Bare Metal 解決方案，請參閱產品說明文件。
限制

將 VPC Service Controls 連結至 Bare Metal 解決方案環境，不代表能享有任何服務控管保證。

如要進一步瞭解 VPC Service Controls 的 Bare Metal 解決方案限制，請參閱「已知問題和限制」。

Batch

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 batch.googleapis.com
詳細資料

Batch API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Batch，請參閱產品說明文件。
限制
如要全面保護 Batch，您需要在周邊防禦系統中加入下列 API：
  • Batch API (batch.googleapis.com)
  • Cloud Logging API (logging.googleapis.com)
  • Cloud Storage API (storage.googleapis.com)
  • Container Registry API (containerregistry.googleapis.com)
  • Artifact Registry API (artifactregistry.googleapis.com)
  • Filestore API (file.googleapis.com)

Lakehouse 執行階段目錄

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 biglake.googleapis.com
詳細資訊

Lakehouse 執行階段目錄的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Lakehouse 執行階段目錄，請參閱產品說明文件。
限制

Lakehouse 執行階段目錄與 VPC Service Controls 整合，目前沒有已知限制。

BigQuery

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 bigquery.googleapis.com,
bigquerystorage.googleapis.com,
bigqueryreservation.googleapis.com,
bigqueryconnection.googleapis.com
詳細資訊

使用 service perimeter 保護 BigQuery API 時，BigQuery Storage API (bigquerystorage.googleapis.com)、BigQuery Reservation API (bigqueryreservation.googleapis.com) 和 BigQuery Connection API (bigqueryconnection.googleapis.com) 也會受到保護。您不需要另外將這些 API 新增至 perimeter 的受保護服務清單。

進一步瞭解如何為 BigQuery 設定 VPC Service Controls，以及如何允許存取 perimeter 內的社群貢獻函式。

如要進一步瞭解 BigQuery，請參閱產品說明文件。
限制

  • 由於服務會在內部處理多項資源的存取權，因此 BigQuery 稽核記錄檔記錄不一定會包含提出要求時使用的所有資源。

  • 存取受 service perimeter 保護的 BigQuery 執行個體時，BigQuery 工作必須在 perimeter 內部的專案中執行，或在 perimeter 輸出規則允許的專案中執行。根據預設，BigQuery 用戶端程式庫會在服務帳戶或使用者專案中執行工作，導致查詢遭 VPC Service Controls 拒絕。

  • 搭配 VPC Service Controls 使用授權檢視區塊時，系統會對檢視區塊專案和來源資料專案強制執行服務範圍。舉例來說，如果檢視專案與來源資料專案不在同一個 perimeter，就必須有適當的輸出規則。詳情請參閱「授權檢視畫面和 VPC Service Controls」。

  • BigQuery 會禁止將查詢結果從 VPC Service Controls 保護的 perimeter 儲存至 Google 雲端硬碟。不過，VPC Service Controls 不會封鎖查詢 Google 雲端硬碟資料。

    如要瞭解如何限制 Google 雲端硬碟的存取權，請參閱「建立及管理雲端硬碟共用信任規則」。

  • 如果您使用以使用者帳戶為身分類型，並透過連入規則授予存取權，就無法在「監控」頁面查看 BigQuery 資源用量或管理工作探索器。如要使用這些功能，請設定輸入規則，並使用 ANY_IDENTITY 或 Google 群組，其中包含需要存取權的特定使用者。在輸入規則的身分欄位中指定群組，格式為 group:GROUP_EMAIL_ADDRESS。

  • 如果您使用輸入規則授予 BigQuery 使用者資料存取權，使用者就能透過 Google Cloud 控制台查詢資料，並將結果儲存至本機檔案。

  • BigQuery Standard 版本不允許存取 VPC Service Controls 範圍內的資源。透過 BigQuery Enterprise、Enterprise Plus 或 On-Demand 執行分析時，系統只支援 VPC Service Controls。

  • 部分支援 BigQuery Reservation API。 BigQuery Reservation API 會建立指派資源，但不會對指派對象強制執行 service perimeter 限制。

  • BigQuery 資料準備功能使用 Dataform，因此有額外的存取控管需求。請參閱「 Dataform」。

BigQuery Data Policy API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 bigquerydatapolicy.googleapis.com
詳細資訊

BigQuery 資料政策 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 BigQuery Data Policy API，請參閱產品說明文件。
限制

BigQuery Data Policy API 與 VPC Service Controls 的整合沒有已知限制。

BigQuery 資料移轉服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 bigquerydatatransfer.googleapis.com
詳細資訊

服務周邊僅保護 BigQuery 資料移轉服務 API。實際的資料保護措施是由 BigQuery 強制執行。這項服務的設計目的是允許從 Google Cloud 以外的各種外部來源 (例如 Amazon S3、Redshift、Teradata、YouTube、Google Play 和 Google Ads) 將資料匯入 BigQuery 資料集。如要瞭解從 Teradata 遷移資料的 VPC Service Controls 需求，請參閱「VPC Service Controls 需求」。

如要進一步瞭解 BigQuery 資料移轉服務，請參閱產品說明文件。
限制
  • BigQuery 資料移轉服務不支援將資料匯出 BigQuery 資料集。詳情請參閱「匯出資料表資料」。
  • 如要在專案之間移轉資料，目的地專案必須與來源專案位於相同的 perimeter 內，或是有輸出規則允許將資料移轉至 perimeter 外部。如要瞭解如何設定輸出規則，請參閱「管理 BigQuery 資料集」中的「限制」一節。
  • 由 BigQuery 資料移轉服務啟動的 BigQuery 工作，其定期離線移轉作業的輸入和輸出違規事項，不會包含呼叫端 IP 位址和裝置等使用者環境資訊。
  • BigQuery 資料移轉服務僅支援使用支援的資料來源中列出的其中一個連接器，將資料移轉至受 service perimeter 保護的專案。BigQuery 資料移轉服務不支援使用其他第三方合作夥伴提供的連接器，將資料移轉至受 service perimeter 保護的專案。

BigQuery Migration API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 bigquerymigration.googleapis.com
詳細資訊

BigQuery Migration API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 BigQuery Migration API，請參閱產品說明文件。
限制

BigQuery Migration API 與 VPC Service Controls 整合時，沒有已知限制。

Bigtable

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 bigtable.googleapis.com,
bigtableadmin.googleapis.com
詳細資訊

bigtable.googleapis.com 和 bigtableadmin.googleapis.com 服務會綁定在一起。在 perimeter 中限制 bigtable.googleapis.com 服務時，perimeter 預設會限制 bigtableadmin.googleapis.com 服務。由於 bigtableadmin.googleapis.com 服務與 bigtable.googleapis.com 服務綁定，因此無法新增至 perimeter 的受限服務清單。

如要進一步瞭解 Bigtable，請參閱產品說明文件。
限制

Bigtable 與 VPC Service Controls 的整合沒有已知限制。

二進位授權

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 binaryauthorization.googleapis.com
詳細資訊

搭配使用多項專案和二進位授權時，每項專案都必須納入 VPC Service Controls 範圍。如要進一步瞭解這項用途，請參閱「多專案設定」。

透過二進位授權，您可以使用 Artifact Analysis 將驗證者和驗證分別儲存為附註和例項。在這種情況下，您也必須將 Artifact Analysis 納入 VPC Service Controls 範圍。詳情請參閱「Artifact Analysis 的 VPC Service Controls 指引」。

如要進一步瞭解二進位授權，請參閱產品說明文件。
限制

二進位授權與 VPC Service Controls 整合時，沒有已知限制。

Blockchain Node Engine

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 blockchainnodeengine.googleapis.com
詳細資訊

Blockchain Node Engine 的 API 可受 VPC Service Controls 保護，並在 service perimeter 內正常使用。

如要進一步瞭解 Blockchain Node Engine，請參閱產品說明文件。
限制

Blockchain Node Engine 與 VPC Service Controls 整合時，有下列限制：

  • VPC Service Controls 僅保護 Blockchain Node Engine API。建立節點時，您仍須指出節點適用於使用者設定的私人網路，並使用 Private Service Connect。
  • 對等互連流量不會受到 VPC Service Controls 或 Private Service Connect 影響，仍會繼續使用公開網際網路。

憑證授權單位服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 privateca.googleapis.com
詳細資料

憑證授權單位服務 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解憑證授權單位服務，請參閱產品說明文件。
限制

  • 如要在受保護的環境中使用憑證授權單位服務，您也必須將 Cloud KMS API (cloudkms.googleapis.com) 和 Cloud Storage API (storage.googleapis.com) 新增至 service perimeter。

Config Controller

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 krmapihosting.googleapis.com
詳細資訊

如要搭配使用 Config Controller 和 VPC Service Controls，您必須在 perimeter 內啟用下列 API：

  • Cloud Monitoring API (monitoring.googleapis.com)
  • Container Registry API (containerregistry.googleapis.com)
  • Google Cloud Observability API (logging.googleapis.com)
  • Security Token Service API (sts.googleapis.com)
  • Cloud Storage API (storage.googleapis.com)

如果您使用 Config Controller 佈建資源，則必須在 service perimeter 為這些資源啟用 API。舉例來說，如要新增 IAM 服務帳戶，必須新增 IAM API (iam.googleapis.com)。

如要進一步瞭解 Config Controller，請參閱產品說明文件。

限制

Config Controller 與 VPC Service Controls 的整合沒有已知限制。

Data Catalog

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 datacatalog.googleapis.com
詳細資訊 Data Catalog 會自動遵守 其他 Google Cloud 服務 周圍的範圍。

如要進一步瞭解 Data Catalog，請參閱產品說明文件。
限制

Data Catalog 與 VPC Service Controls 的整合沒有任何已知限制。

Cloud Data Fusion

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 datafusion.googleapis.com
詳細資料

Cloud Data Fusion 需要採取一些特殊步驟，才能使用 VPC Service Controls 進行保護。

如要進一步瞭解 Cloud Data Fusion，請參閱產品說明文件。
限制

  • 建立 Cloud Data Fusion 私人執行個體前，請先建立 VPC Service Controls 安全 perimeter。不支援在設定 VPC Service Controls 前建立的執行個體。

  • 目前 Cloud Data Fusion 資料平面 UI 不支援使用輸入規則或存取層級，以身分識別為基礎的存取權。

Data Lineage API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 datalineage.googleapis.com
詳細資料

資料沿革 API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Data Lineage API，請參閱產品說明文件。
限制

Data Lineage API 與 VPC Service Controls 整合時，沒有已知限制。

Compute Engine

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 compute.googleapis.com
詳細資訊

Compute Engine 支援 VPC Service Controls，可提供下列安全性優勢：

  • 限制存取敏感 API 作業
  • 將永久磁碟快照和自訂映像檔限制在周邊範圍內
  • 限制執行個體中繼資料的存取權

Compute Engine 支援 VPC Service Controls，因此您也可以在 service perimeter 內，使用虛擬私有雲網路和具備私人節點的 Google Kubernetes Engine 叢集。

如要進一步瞭解 Compute Engine，請參閱產品說明文件。
限制

  • 如果將負載平衡器設為使用不同專案的後端服務，可能會發生資料竊取。如果將其中一項專案新增至 perimeter，即使您將另一項專案限制在其他 perimeter 內，跨專案後端連結仍可允許資料在專案之間移動。為降低這項風險，建議您在限制 perimeter 內的 Compute Engine API 時，啟用 constraints/compute.restrictCrossProjectServices 組織政策。詳情請參閱「限制跨專案的後端 bucket 和後端服務」。

  • 階層式防火牆不受服務安全防護範圍影響。

  • 虛擬私有雲對等互連作業不會強制執行虛擬私有雲服務範圍限制。

  • Shared VPC 的 projects.ListXpnHosts API 方法不會對傳回的專案強制執行 service perimeter 限制。

  • 如要從受 service perimeter 保護的專案中，透過 Cloud Storage 建立 Compute Engine 映像檔，請將建立映像檔的使用者暫時新增至 perimeter 的輸入規則。

  • VPC Service Controls 不支援在 service perimeter 內的 Compute Engine VM 上使用開放原始碼版本的 Kubernetes。

  • 透過瀏覽器建立 SSH 連線的功能不支援周邊裝置。請改用 gcloud CLI。詳情請參閱「連線至 Linux VM」或「連線至序列埠控制台」，視您的用途而定。

  • 互動式序列控制台不支援 受限制的 VIP。如需使用序列控制台排解執行個體問題，請設定地端部署 DNS 解析，透過網際網路將指令傳送至 ssh-serialport.googleapis.com。

客戶體驗洞察

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 contactcenterinsights.googleapis.com
詳細資訊

如要搭配 VPC Service Controls 使用 CX Insights，您必須在服務範圍內擁有下列額外 API，視整合方式而定。

  • 如要將資料載入 CX Insights，請將 Cloud Storage API 新增至 service perimeter。

  • 如要使用「匯出」，請將 BigQuery API 新增至服務周邊。

  • 如要整合多項 CCAI 產品，請將 Agent Platform API 新增至 service perimeter。

如要進一步瞭解客戶體驗洞察，請參閱產品說明文件。
限制

Customer Experience Insights 與 VPC Service Controls 整合時，沒有已知限制。

Dataflow

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dataflow.googleapis.com
詳細資訊

Dataflow 支援多種 儲存服務連接器。經驗證，下列連接器可在服務安全防護範圍內的 Dataflow 中運作：

如要進一步瞭解 Dataflow，請參閱產品說明文件。
限制

  • 使用 Dataflow 時，系統不支援自訂 BIND。如要在搭配使用 Dataflow 和 VPC Service Controls 時自訂 DNS 解析，請使用 Cloud DNS 私人區域，而非自訂 BIND 伺服器。如要使用自己的地端部署 DNS 解析，請考慮使用Google Cloud DNS 轉送方法。

  • 垂直自動調度無法受到 VPC Service Controls 範圍保護。如要在 VPC Service Controls 服務範圍內使用垂直自動調度功能，請停用 可透過虛擬私有雲存取的服務功能。

  • 如果您啟用 Dataflow Prime，並在 VPC Service Controls 範圍內啟動新工作，該工作會使用不含垂直自動調度資源功能的 Dataflow Prime。

  • 並非所有儲存空間服務連接器都經過驗證，可在 service perimeter 內與 Dataflow 搭配使用。如需已驗證的連結器清單，請參閱上一節的「詳細資料」。

  • 如果使用 Python 3.5 和 Apache Beam SDK 2.20.0 至 2.22.0，且 worker 只有私人 IP 位址 (例如使用 VPC Service Controls 保護資源時)，Dataflow 工作會在啟動時失敗。如果 Dataflow 工作站只能使用私人 IP 位址 (例如使用 VPC Service Controls 保護資源時)，請勿搭配使用 Python 3.5 和 Apache Beam SDK 2.20.0 至 2.22.0。這種組合會導致作業在啟動時失敗。 <0x0A

Knowledge Catalog

狀態 正式發布
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dataplex.googleapis.com
詳細資訊

VPC Service Controls 可保護 Knowledge Catalog 的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解 Knowledge Catalog，請參閱產品說明文件。
限制

建立 Knowledge Catalog 資源前，請先設定 VPC Service Controls 安全範圍。否則資源不會受到周邊防護措施保護。 Knowledge Catalog 支援下列資源類型：

  • 湖泊
  • 資料剖析掃描作業
  • 資料品質掃描

為確保正常運作，Knowledge Catalog 會透過內部路徑與 BigQuery 和 Cloud Storage 互動。如果只在 perimeter 內限制 Knowledge Catalog API，但未限制 BigQuery API 或 Cloud Storage API，則在啟動 Knowledge Catalog 作業時，可能會發生違規情形。VPC Service Controls 會將產生的稽核記錄項目歸因於 BigQuery 或 Cloud Storage。如要解決這項違規問題，請將 BigQuery API 和 Cloud Storage API 新增至相同 perimeter 的受限服務清單和可透過虛擬私有雲存取的服務清單。

Managed Service for Apache Spark

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dataproc.googleapis.com
詳細資訊

如要使用 VPC Service Controls 保護 Managed Service for Apache Spark，必須採取特殊步驟。

如要進一步瞭解 Managed Service for Apache Spark，請參閱產品說明文件。
限制

如要使用服務周邊防護範圍保護 Managed Service for Apache Spark 叢集，請按照「Managed Service for Apache Spark 和 VPC Service Controls 網路」 操作說明進行操作。

Managed Service for Apache Spark for Spark

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dataproc.googleapis.com
詳細資料

Managed Service for Apache Spark 必須採取特殊步驟，才能使用 VPC Service Controls 進行保護。

如要進一步瞭解 Managed Service for Apache Spark，請參閱產品說明文件。
限制

如要使用 service perimeter 保護無伺服器工作負載，請按照「Managed Service for Apache Spark and VPC Service Controls networks」 操作說明進行。

Dataproc Metastore

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 metastore.googleapis.com
詳細資訊

Dataproc Metastore 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Dataproc Metastore，請參閱產品說明文件。
限制

Dataproc Metastore 與 VPC Service Controls 整合時，沒有已知限制。

Datastream

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 datastream.googleapis.com
詳細資訊

Datastream 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Datastream，請參閱產品說明文件。
限制

Datastream 與 VPC Service Controls 的整合沒有已知限制。

Database Center

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 databasecenter.googleapis.com
詳細資訊

Database Center 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Database Center，請參閱產品說明文件。
限制

VPC Service Controls 不支援從 service perimeter 內部的資源和用戶端，存取資料夾層級或組織層級的 Cloud Asset API 資源。VPC Service Controls 可保護專案層級的 Cloud Asset API 資源。您可以指定輸出政策，允許從 perimeter 內部的專案存取專案層級的 Cloud Asset API 資源。如要在資料夾或機構層級管理 Database Center 權限，建議使用 IAM。

Database Insights API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 databaseinsights.googleapis.com
詳細資訊

Database Insights API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Database Insights API，請參閱產品說明文件。
限制

Database Insights API 與 VPC Service Controls 的整合沒有已知限制。

資料庫遷移服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 datamigration.googleapis.com
詳細資訊

資料庫遷移服務 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解資料庫遷移服務，請參閱產品說明文件。
限制
  • service perimeter 只會保護資料庫遷移服務管理員 API。無法保護對基礎資料庫 (例如 Cloud SQL 執行個體) 的 IP 型資料存取。如要限制 Cloud SQL 執行個體的公開 IP 存取權，請使用組織政策限制。
  • 在遷移作業的初始傾印階段使用 Cloud Storage 檔案時，請將 Cloud Storage bucket 新增至相同的服務安全防護範圍。
  • 在目標資料庫中使用客戶自行管理的加密金鑰 (CMEK) 時，請確保 CMEK 與包含該金鑰的連線設定檔位於相同的服務安全防護範圍。

Dialogflow

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dialogflow.googleapis.com
詳細資訊

Dialogflow 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Dialogflow，請參閱產品說明文件。
限制

Agent Assist

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dialogflow.googleapis.com
詳細資訊

Agent Assist 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Agent Assist，請參閱產品說明文件。
限制

Sensitive Data Protection

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dlp.googleapis.com
詳細資訊

如要瞭解如何允許 Sensitive Data Protection 在 VPC Service Controls perimeter 內探索資料，請參閱「允許在服務範圍內探索機密資料」。

如要進一步瞭解 Sensitive Data Protection，請參閱產品說明文件。
限制

  • 由於 VPC Service Controls 目前不支援資料夾和組織資源，因此嘗試存取組織層級資源時，Sensitive Data Protection 呼叫可能會傳回 403 回應。建議您使用 IAM，在資料夾和機構層級管理 Sensitive Data Protection 權限。

Distributed Cloud Edge Container API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 edgecontainer.googleapis.com
詳細資訊

Distributed Cloud Edge Container API 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Distributed Cloud Edge Container API，請參閱產品說明文件。
限制

  • 在 perimeter 中限制 edgecontainer.googleapis.com 時，您必須在 IP 位址層級授予 gkeconnect.googleapis.com 和 sts.googleapis.com 存取權，讓所有需要存取這些端點的機器 IP 位址都能存取。這是因為 Distributed Cloud Edge Container API 依賴地端部署電腦上的 Workload Identity Federation for GKE，而這項服務無法直接新增至許可清單。詳情請參閱「設定 VPC Service Controls 整合」。

Cloud DNS

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dns.googleapis.com
詳細資訊

Cloud DNS 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud DNS，請參閱產品說明文件。
限制

  • 您可以透過受限制的 VIP 存取 Cloud DNS。不過，您無法在 VPC Service Controls 範圍內的專案中建立或更新公開 DNS 區域。

Document AI

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 documentai.googleapis.com
詳細資訊

Document AI 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Document AI，請參閱產品說明文件。
限制

如要允許 Document AI 存取受服務範圍保護的 Cloud Storage bucket，請建立輸入規則。如要搭配處理器使用客戶自行管理的 bucket，或在 Google Cloud 控制台查看文件，就必須進行這項設定。這些動作會使用 Document AI Core Service Agent (service-PROJECT_NUMBER@gcp-sa-prod-dai-core.iam.gserviceaccount.com) 存取 bucket 中的物件 (例如生成及快取頁面圖片和縮圖)。

由於這項服務代理不在您的安全範圍內，除非輸入規則授予存取權，否則系統會拒絕代理的要求，並顯示 NO_MATCHING_ACCESS_LEVEL 違規事項。

為每個服務代理需要存取範圍內 bucket 的專案設定輸入規則。

Document AI Warehouse

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 contentwarehouse.googleapis.com
詳細資訊

Document AI Warehouse 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Document AI Warehouse，請參閱產品說明文件。
限制

Document AI Warehouse 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Domains

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 domains.googleapis.com
詳細資訊

Cloud Domains 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Cloud Domains，請參閱產品說明文件。
限制

Cloud FTP

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ftp.googleapis.com
詳細資訊

建議您將 Cloud FTP 專案與 Cloud Storage 資源放在同一個 service perimeter。這種做法有助於保護移轉作業和 Cloud Storage 資源。如果 Cloud FTP 專案與 Cloud Storage bucket 不在同一週邊，Cloud FTP 也支援使用輸入政策的情境。

如要瞭解設定方式，請參閱「設定 Cloud FTP 的 VPC Service Controls」。

如要進一步瞭解 Cloud FTP，請參閱產品說明文件。
限制
  • 如要搭配使用 VPC Service Controls 和 Cloud FTP，您必須將 Cloud FTP API (ftp.googleapis.com) 和 Cloud Storage API (storage.googleapis.com) 新增至 service perimeter。
  • 如果是內部伺服器，只有在建立伺服器時，系統才會驗證 perimeter 強制執行。這表示如果您在建立內部伺服器後變更 perimeter，系統不會偵測或強制執行現有內部伺服器的任何 perimeter 變更 (例如 perimeter 成員資格、輸入政策或網路關聯)。您必須重新建立內部伺服器，才能強制執行更新後的 perimeter 控制項。
  • SFTP 和 SSH 工作階段不會攜帶裝置狀態中繼資料，例如 Chrome Enterprise 進階版裝置屬性或端點驗證憑證。這項行為代表輸入規則只能強制執行 IP 位址和身分條件。

Eventarc Advanced

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 eventarc.googleapis.com,
eventarcpublishing.googleapis.com
詳細資訊

Eventarc Advanced API 可受到 VPC Service Controls 保護，且功能可在 service perimeter 內正常使用。

service perimeter 外部的 Eventarc Advanced 匯流排無法接收 perimeter 內部 Google Cloud 專案的事件。perimeter 內部的 Eventarc Advanced 匯流排無法將事件轉送至 perimeter 外部的消費者。

  • 如要發布至 Eventarc Advanced 匯流排，事件來源必須與匯流排位於相同的 service perimeter。
  • 如要取用訊息，事件取用端必須與匯流排位於相同的 service perimeter。

您可以查看輸入的平台記錄，確認 VPC Service Controls 是否支援 Enrollment、GoogleApiSource、MessageBus 和 Pipeline 資源。

如要進一步瞭解 Eventarc Advanced，請參閱產品說明文件。
限制

Eventarc 進階版與 VPC Service Controls 整合時，沒有已知限制。

Eventarc Standard

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 eventarc.googleapis.com,
eventarcpublishing.googleapis.com
詳細資訊

Eventarc Standard 會使用 Pub/Sub 主題和推送訂閱項目處理事件傳遞作業。如要存取 Pub/Sub API 並管理事件觸發條件，Eventarc API 必須與 Pub/Sub API 位於相同的 VPC Service Controls 服務範圍內，才能受到保護。

如要進一步瞭解 Eventarc Standard，請參閱產品說明文件。
限制
在受 service perimeter 保護的專案中，適用下列限制：
  • Eventarc Standard 的限制與 Pub/Sub 相同：
    • 將事件路由至 Cloud Run 目標時，除非推送端點設為具有預設 run.app 網址的 Cloud Run 服務 (自訂網域不適用)，否則無法建立新的 Pub/Sub 推送訂閱項目。
    • 將事件轉送至 Workflows 目標時，如果 Pub/Sub 推送端點設為 Workflows 執行作業，您只能透過 Eventarc Standard 建立新的 Pub/Sub 推送訂閱項目。
    請參閱本文的「Pub/Sub 限制」一節。
  • VPC Service Controls 會禁止為內部 HTTP 端點建立 Eventarc Standard 觸發條件。將事件轉送至這類目的地時，不適用 VPC Service Controls 保護措施。

Distributed Cloud Edge Network API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 edgenetwork.googleapis.com
詳細資料

Distributed Cloud Edge Network API 的 API 可受到 VPC Service Controls 保護，並在服務範圍內正常使用。

如要進一步瞭解 Distributed Cloud Edge Network API，請參閱產品說明文件。
限制

Distributed Cloud Edge Network API 與 VPC Service Controls 整合，沒有已知限制。

Anti Money Laundering AI

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 financialservices.googleapis.com
詳細資訊

Anti Money Laundering AI 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Anti Money Laundering AI，請參閱產品說明文件。
限制

Anti Money Laundering AI 與 VPC Service Controls 整合時，沒有已知限制。

Firebase AI Logic

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebasevertexai.googleapis.com
詳細資訊

Firebase AI Logic 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Firebase AI Logic，請參閱產品說明文件。
限制
  • Firebase AI Logic API 會將流量 Proxy 至 Agent Platform API (aiplatform.googleapis.com)。

  • Firebase AI Logic API 的流量應來自行動裝置或瀏覽器用戶端，這些用戶端一律位於服務安全防護範圍外。因此，您需要設定明確的輸入政策。

    如果「只能」從 service perimeter 內連線至 Agent Platform API，建議直接使用 Agent Platform API，或透過其中一項可用服務，從 Agent Platform API 伺服器端存取 Agent Platform API。

Firebase App Check

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebaseappcheck.googleapis.com
詳細資訊

設定及交換 Firebase App Check 權杖時，VPC Service Controls 只會保護 Firebase App Check 服務。如要保護依賴 Firebase App Check 的服務，您必須為這些服務設定 service perimeter。

如要進一步瞭解 Firebase App Check，請參閱產品說明文件。
限制

Firebase App Check 與 VPC Service Controls 整合時，沒有已知限制。

Firebase App Hosting

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebaseapphosting.googleapis.com
詳細資訊

VPC Service Controls 可協助保護傳送至 App Hosting API 的要求。不過，VPC Service Controls 限制不適用於對部署在 App Hosting 的網站提出的要求。

如要進一步瞭解 Firebase App Hosting，請參閱產品說明文件。
限制

在 App Hosting 上部署的網站可透過公用網際網路存取，且無法在 service perimeter 內受到限制。

Cloud Storage for Firebase

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebasestorage.googleapis.com
詳細資料

VPC Service Controls 可保護 Firebase 適用的 Cloud Storage API，且產品可在服務周邊內正常使用。

如要進一步瞭解 Cloud Storage for Firebase，請參閱產品說明文件。
限制

Cloud Storage for Firebase 與 VPC Service Controls 的整合沒有已知限制。

Firebase Crashlytics

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebasecrashlytics.googleapis.com
詳細資料

在安全防護範圍內限制 Firebase Crashlytics，也會限制 Firebase 控制台的 Firebase Crashlytics 功能存取權。

如要進一步瞭解 Firebase Crashlytics，請參閱產品說明文件。
限制

Firebase Crashlytics 與 VPC Service Controls 整合時，沒有已知限制。

Firebase Data Connect

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebasedataconnect.googleapis.com
詳細資料

服務範圍只會保護 Firebase Data Connect API。不會保護對基礎資料來源 (例如 Cloud SQL 執行個體) 的存取權。如要限制資料庫執行個體的存取權，必須另外設定。

如要進一步瞭解 Firebase Data Connect，請參閱產品說明文件。

限制

Firebase Data Connect 與 VPC Service Controls 整合，目前沒有已知限制。

Firebase 電話號碼驗證

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 fpnv.googleapis.com
詳細資訊

服務安全防護範圍僅保護 Firebase 電話號碼驗證 API。 如果您將這項服務與其他服務 (例如 Firebase 驗證或自訂後端) 搭配使用，也必須將這些服務新增至 service perimeter 內的受限制服務清單，確保這些服務也受到 VPC Service Controls 保護。

如要進一步瞭解 Firebase 電話號碼驗證，請參閱產品說明文件。
限制

Firebase 電話號碼驗證功能會與使用者的行動電信業者通訊，以擷取電話號碼。與外部行動電信業者網路的互動，不在 VPC Service Controls 違規處置的範圍內。

Firebase 安全性規則

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firebaserules.googleapis.com
詳細資訊

管理 Firebase 安全性規則政策時，VPC Service Controls 只會保護 Firebase 安全性規則服務。如要保護依賴 Firebase 安全性規則的服務，您必須為這些服務設定服務範圍。

如要進一步瞭解 Firebase 安全性規則，請參閱產品說明文件。
限制

Firebase 安全性規則與 VPC Service Controls 整合時，沒有已知限制。

Cloud Run functions

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudfunctions.googleapis.com
詳細資料

如需設定步驟，請參閱 Cloud Run functions 說明文件。使用 Cloud Build 建構 Cloud Run functions 時，VPC Service Controls 保護機制不適用於建構階段。詳情請參閱已知限制。

如要進一步瞭解 Cloud Run functions，請參閱產品說明文件。
限制

  • Cloud Run functions 會使用 Cloud Build、Container Registry 和 Cloud Storage，在可執行的容器中建構及管理原始碼。如果這些服務受到 service perimeter 限制，即使 Cloud Run functions 未列入 perimeter 的受限制服務清單，VPC Service Controls 仍會封鎖 Cloud Run functions 的建構作業。如要在 service perimeter 內使用 Cloud Run functions，請在 service perimeter 中設定 Cloud Build 服務帳戶的輸入規則。

  • 為了讓函式使用 npm 套件等外部依附元件，Cloud Build 具有無限制的網路連線能力。這項網路連線能力可用於竊取建構時可用的資料，例如您上傳的原始碼。如要降低這類資料竊取向量的風險，建議您只允許信任的開發人員部署函式。請勿將 Cloud Run functions 擁有者、編輯者或開發人員 IAM 角色授予不受信任的開發人員。

  • 為 service perimeter 指定輸入或輸出政策時，您無法使用 ANY_SERVICE_ACCOUNT 和 ANY_USER_ACCOUNT 做為身分類型，從本機電腦部署 Cloud Run functions。

    如要解決這個問題，請使用 ANY_IDENTITY 做為身分類型。

  • 當 HTTP 觸發程序叫用 Cloud Run functions 服務時，VPC Service Controls 政策強制執行作業不會使用用戶端的 IAM 驗證資訊。不支援使用 IAM 主體的 VPC Service Controls 輸入政策規則。不支援使用 IAM 主體的 VPC Service Controls perimeter 存取層級。

Identity and Access Management

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 iam.googleapis.com
詳細資訊

使用 perimeter 限制 IAM 時，只有使用 Identity and Access Management API 的動作會受到限制。這些動作包括：

  • 管理自訂 IAM 角色
  • 管理 workload identity pool
  • 管理服務帳戶和金鑰
  • 管理拒絕政策
  • 管理主體存取邊界政策的政策繫結

這類資源是在組織層級建立，因此 perimeter 不會限制與工作團隊集區和主體存取邊界政策相關的操作。

此外，對於其他服務擁有的資源 (例如 Resource Manager 專案、資料夾和組織，或 Compute Engine 虛擬機器執行個體)，perimeter 不會限制允許政策管理。如要限制這些資源的允許政策管理權，請建立 perimeter，限制擁有這些資源的服務。如要查看接受允許政策的資源清單，以及擁有這些資源的服務，請參閱「接受允許政策的資源類型」。

此外，IAM 周邊防護範圍「不會」限制使用其他 API 的動作，包括：

  • IAM Policy Simulator API
  • IAM Policy Troubleshooter API
  • Security Token Service API
  • Service Account Credentials API (包括 IAM API 中的舊版 signBlob 和 signJwt 方法)

如要進一步瞭解 Identity and Access Management，請參閱產品說明文件。
限制

如果您位於 perimeter 內，則無法使用空字串呼叫 roles.list 方法來列出 IAM 預先定義的角色。如要查看預先定義的角色，請參閱 IAM 角色說明文件。

IAP Admin API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 iap.googleapis.com
詳細資料

使用者可透過 IAP Admin API 設定 IAP。

如要進一步瞭解 IAP Admin API，請參閱產品說明文件。
限制

IAP Admin API 與 VPC Service Controls 的整合沒有已知限制。

Cloud KMS Inventory API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 kmsinventory.googleapis.com
詳細資料

Cloud KMS Inventory API 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Cloud KMS Inventory API，請參閱產品說明文件。
限制

SearchProtectedResources API 方法不會對傳回的專案強制執行 service perimeter 限制。

服務帳戶憑證

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 iamcredentials.googleapis.com
詳細資訊

服務帳戶憑證的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解服務帳戶憑證，請參閱產品說明文件。
限制

服務帳戶憑證與 VPC Service Controls 整合時，沒有已知限制。

Service Metadata API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloud.googleapis.com
詳細資料

Service Metadata API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Service Metadata API，請參閱產品說明文件。
限制

Service Metadata API 與 VPC Service Controls 整合時，沒有已知限制。

服務網路

狀態 GA。VPC Service Controls 完全支援這項產品整合。
使用安全範圍保護？ 不可以。Service Networking API 無法受到 service perimeter 保護。不過，Service Networking 可以在 perimeter 內的專案中正常使用。
詳細資料

如果您使用私人服務存取權，建議為 Service Networking 連線啟用 VPC Service Controls。啟用 VPC Service Controls 後，服務供應商只能透過 Service Networking 連線存取 VPC Service Controls 支援的 API。

您只能使用 EnableVpcServiceControls API，為 Service Networking 啟用 VPC Service Controls。您只能使用 DisableVpcServiceControls API 停用 Service Networking 的 VPC Service Controls。

如要進一步瞭解 Service Networking，請參閱產品說明文件。
限制

Service Networking 與 VPC Service Controls 的整合沒有任何已知限制。

無伺服器 VPC 存取

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 vpcaccess.googleapis.com
詳細資訊

無伺服器 VPC 存取的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解無伺服器 VPC 存取，請參閱產品說明文件。
限制

無伺服器 VPC 存取與 VPC Service Controls 的整合沒有已知限制。

Cloud Key Management Service

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudkms.googleapis.com
詳細資訊

Cloud KMS API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內使用。VPC Service Controls 也會保護 Cloud HSM 服務的存取權，且可在服務範圍內使用。

如要進一步瞭解 Cloud Key Management Service，請參閱產品說明文件。
限制

Cloud Key Management Service 與 VPC Service Controls 的整合沒有任何已知限制。

遊戲伺服器

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 gameservices.googleapis.com
詳細資料

遊戲伺服器 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Game Servers，請參閱產品說明文件。
限制

Game Servers 與 VPC Service Controls 整合時，沒有已知限制。

Gemini Cloud Assist

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 geminicloudassist.googleapis.com
詳細資訊

Gemini Cloud Assist 可受到 VPC Service Controls 保護。Gemini Cloud Assist 只能存取 service perimeter 內的資料和 API。如要瞭解 Gemini Cloud Assist 運作所需的重要 API，請參閱「 Gemini Cloud Assist API 建議」。同樣地，如要讓 Gemini Cloud Assist 檢查任何產品或服務，請將其置於 perimeter 內，以獲得最佳結果。

如要進一步瞭解 Gemini Cloud Assist，請參閱產品說明文件。
限制

Gemini Cloud Assist 也會使用 cloudaicompanion.googleapis.com API 執行部分功能。您也必須在服務邊界中加入 cloudaicompanion.googleapis.com API，才能完整使用 Gemini Cloud Assist 功能。

如果專案位於服務安全防護範圍內，但尚未啟用 Gemini Cloud Assist，嘗試透過 Google Cloud 控制台啟用時會發生錯誤。發生這項錯誤的原因是， Google Cloud 控制台需要同時啟用 App Optimize API，但 VPC Service Controls 不支援 App Optimize API。如要避免這項錯誤，請使用 gcloud CLI 啟用 Gemini Cloud Assist。

Gemini Code Assist

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudaicompanion.googleapis.com
詳細資訊

Gemini Code Assist 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。包括自訂程式碼。

如要進一步瞭解 Gemini Code Assist，請參閱產品說明文件。
限制

管理控制台中的 Gemini 不支援根據裝置、公開 IP 位址或位置資訊進行存取權控管。 Google Cloud

TCP 適用的 Identity-Aware Proxy

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 iaptunnel.googleapis.com
詳細資訊

TCP 適用的 Identity-Aware Proxy API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 TCP 適用的 Identity-Aware Proxy，請參閱產品說明文件。
限制

  • 只有 IAP for TCP 的用量 API 可以受到 perimeter 保護。 管理 API 無法受到安全範圍保護。

  • 如要在 VPC Service Controls 服務範圍內使用 TCP 適用的 IAP，您必須新增或設定一些 DNS 項目，將下列網域指向受限制的虛擬 IP：

    • tunnel.cloudproxy.app
    • *.tunnel.cloudproxy.app

Cloud Life Sciences

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 lifesciences.googleapis.com
詳細資訊

Cloud Life Sciences 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Life Sciences，請參閱產品說明文件。
限制

Cloud Life Sciences 與 VPC Service Controls 整合時，沒有已知限制。

Managed Service for Microsoft Active Directory

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 managedidentities.googleapis.com
詳細資訊

需要額外設定：

如要進一步瞭解 Managed Service for Microsoft Active Directory，請參閱產品說明文件。
限制

Managed Service for Microsoft Active Directory 與 VPC Service Controls 整合時，沒有已知限制。

Fraud Defense

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 recaptchaenterprise.googleapis.com
詳細資料

Fraud Defense API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Fraud Defense，請參閱產品說明文件。
限制

詐欺防禦與 VPC Service Controls 的整合沒有已知限制。

Web Risk

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 webrisk.googleapis.com
詳細資訊

Web Risk 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Web Risk，請參閱產品說明文件。
限制

VPC Service Controls 不支援 Evaluate API 和 Submission API。

建議工具

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 recommender.googleapis.com
詳細資料

Recommender 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解建議工具，請參閱產品說明文件。
限制

  • VPC Service Controls 不支援組織、資料夾或帳單帳戶資源。

Secret Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 secretmanager.googleapis.com
詳細資訊

Secret Manager 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Secret Manager，請參閱產品說明文件。
限制

Secret Manager 與 VPC Service Controls 整合時，沒有已知限制。

Pub/Sub

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 pubsub.googleapis.com
詳細資訊

VPC Service Controls 保護措施適用於所有管理員作業、發布者作業和訂閱者作業 (現有推送訂閱項目除外)。

如要進一步瞭解 Pub/Sub，請參閱產品說明文件。
限制

在受 service perimeter 保護的專案中，適用下列限制：

  • 您必須在與主題相同的 perimeter 中建立訂閱項目，或啟用輸出規則，允許從主題存取訂閱項目。
  • 除非推送端點設為具有預設 run.app 網址的 Cloud Run 服務，或是 Workflows 執行作業 (自訂網域不適用)，否則無法建立新的推送訂閱項目。如要進一步瞭解如何與 Cloud Run 整合，請參閱「使用 VPC Service Controls」。
  • 透過 Eventarc 將事件轉送至 Workflows 目標時，如果推送端點設為 Workflows 執行作業，您只能透過 Eventarc 建立新的推送訂閱項目。
  • 在 service perimeter 建立前建立的 Pub/Sub 訂閱項目不會遭到封鎖。

Pub/Sub Lite

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 pubsublite.googleapis.com
詳細資訊

VPC Service Controls 保護措施適用於所有訂閱者作業。

如要進一步瞭解 Pub/Sub Lite，請參閱產品說明文件。
限制

Pub/Sub Lite 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Build

狀態 GA。VPC Service Controls 支援這項產品整合。詳情請參閱詳細資料和限制。
使用安全範圍保護？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudbuild.googleapis.com
詳細資訊

搭配使用 VPC Service Controls 和 Cloud Build 私人集區，進一步提升建構作業的安全性。

如要進一步瞭解 Cloud Build，請參閱產品說明文件。
限制

Cloud Deploy

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 clouddeploy.googleapis.com
詳細資訊

Cloud Deploy 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Deploy，請參閱產品說明文件。
限制

如要在 perimeter 中使用 Cloud Deploy，您必須為目標的執行環境使用 Cloud Build 私人集區。請勿使用預設的 Cloud Build 工作站集區，也不要使用混合集區。

Managed Service for Apache Airflow

狀態 正式發布
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 composer.googleapis.com
詳細資料

設定 Composer 以搭配 VPC Service Controls 使用

如要進一步瞭解 Managed Service for Apache Airflow，請參閱產品說明文件。
限制

  • 啟用 DAG 序列化功能後，Airflow 就不會在網頁 UI 中顯示含有函式的轉譯範本。

  • 啟用 DAG 序列化時，不支援將 async_dagbag_loader 旗標設為 True。

  • 啟用 DAG 序列化功能會停用所有 Airflow 網路伺服器外掛程式，因為這些外掛程式可能會危害部署 Managed Airflow 的虛擬私有雲網路安全性。這不會影響排程器或工作站外掛程式的行為，包括 Airflow 運算子和感應器。

  • 在 perimeter 內執行 Managed Airflow 時，系統會限制存取公開 PyPI 存放區。如要瞭解如何在私人 IP 模式中安裝 PyPi 模組，請參閱 Managed Airflow 說明文件中的「安裝 Python 依附元件」。

  • Managed Airflow 不支援在 Apache Airflow 網頁介面作業的輸入和輸出規則中使用第三方身分。不過，您可以在輸入和輸出規則中使用 ANY_IDENTITY 身分類型，允許存取所有身分，包括第三方身分。如要進一步瞭解 ANY_IDENTITY 身分類型，請參閱「輸入和輸出規則」一文。

Cloud Quotas

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudquotas.googleapis.com
詳細資訊

Cloud Quotas 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Cloud Quotas，請參閱產品說明文件。
限制
  • 由於 VPC Service Controls 會在專案層級強制執行邊界，因此如果機構設定輸出規則，源自 perimeter 內用戶端的 Cloud Quotas 要求就只能存取機構資源。

  • 要求調降配額時，Cloud Quotas 會對 Monitoring 執行服務對服務 (S2S) 呼叫。

    即使縮減要求來自 perimeter 內部，這項 S2S 呼叫也不是，因此會遭到 VPC Service Controls 封鎖。

    如要避免這個問題，可以採取下列任一做法：

如要設定輸入或輸出規則，請參閱 VPC Service Controls 的設定輸入和輸出政策操作說明。

Cloud Run

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 run.googleapis.com
詳細資訊 必須額外設定 Cloud Run。請按照 Cloud Run VPC Service Controls 說明文件頁面的指示操作。

如要進一步瞭解 Cloud Run，請參閱產品說明文件。
限制
  • 如果是 Artifact Registry 和 Container Registry，儲存容器的登錄檔必須與部署專案位於相同的 VPC Service Controls 服務範圍。建構中的程式碼必須與容器推送至的登錄檔位於相同的 VPC Service Controls 範圍。
  • 如果專案位於 VPC Service Controls perimeter 內，就無法使用 Cloud Run 持續部署功能。
  • 叫用 Cloud Run 服務時，VPC Service Controls 政策強制執行不會使用用戶端的 IAM 驗證資訊。這類要求有下列限制：
    • 不支援使用 IAM 主體的 VPC Service Controls 輸入政策規則。僅支援 ANY_IDENTITY 身分類型。
    • 不支援使用 IAM 主體的 VPC Service Controls perimeter 存取層級。
  • 只有在使用受限制的虛擬 IP (VIP) 位址時，系統才會強制執行 VPC Service Controls 輸出政策。
  • 即使 Cloud Run 未設定為可透過虛擬私有雲存取的服務，系統仍允許來自相同專案的要求 (透過非受限 VIP)。

Cloud Scheduler

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudscheduler.googleapis.com
詳細資訊 系統會在下列動作中強制執行 VPC Service Controls：
  • 建立 Cloud Scheduler 工作
  • Cloud Scheduler 工作更新

如要進一步瞭解 Cloud Scheduler，請參閱產品說明文件。
限制
VPC Service Controls 僅支援以以下目標執行的 Cloud Scheduler 工作：
  • Cloud Run 服務：必須使用標準預設 run.app 網域。不支援自訂網域和自訂 DNS。
  • Cloud Run functions：必須使用標準預設 cloudfunctions.net 或 run.app 網域。不支援自訂網域和自訂 DNS。
  • Google Cloud 符合 VPC Service Controls 規範的 API (預先發布版或正式發布版) 可位於與 Cloud Scheduler 工作不同的 Google Cloud 專案中。
    • 您必須使用全域端點格式 (https://SERVICE.googleapis.com)。
    • 系統會拒絕區域端點 (例如 *.rep.googleapis.com、LOCATION.SERVICE.googleapis.com 和 REGION-SERVICE.googleapis.com) 和 mTLS 端點 (*.mtls.googleapis.com)。
  • Pub/Sub

不支援無伺服器端點的自訂網域，且目的地服務會封鎖對自訂網域的執行階段叫用，即使是預先存在的工作也一樣。

詳情請參閱「使用 VPC Service Controls 保護 Cron 工作」。

Spanner

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 spanner.googleapis.com
詳細資料

Spanner 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Spanner，請參閱產品說明文件。
限制

Spanner 與 VPC Service Controls 的整合沒有已知限制。

Speaker ID

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 speakerid.googleapis.com
詳細資訊

Speaker ID 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Speaker ID，請參閱產品說明文件。
限制

Speaker ID 與 VPC Service Controls 的整合沒有已知限制。

Cloud Storage

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 storage.googleapis.com
詳細資訊

Cloud Storage 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Cloud Storage，請參閱產品說明文件。
限制

  • 如果將要求端付款功能與保護 Cloud Storage 服務的 service perimeter 內部儲存空間 bucket 搭配使用，您就無法指定 perimeter 外部的專案來付款。目標專案必須與儲存空間 bucket 位於相同 perimeter，或與 bucket 的專案位於 perimeter bridge 中。

    如要進一步瞭解「要求者付費」功能，請參閱「要求者付費的使用和存取權規定」。

  • 如果專案位於 service perimeter 內，且 Cloud Storage API 受到該 perimeter 保護，則無法存取 Google Cloud 控制台中的 Cloud Storage 頁面。如要授予頁面存取權，您必須建立輸入規則和/或存取層級，其中包含您要允許存取 Cloud Storage API 的使用者帳戶和/或公開 IP 範圍。

  • 在稽核記錄檔記錄中，resourceName 欄位不會識別擁有 bucket 的專案。專案必須另外探索。

  • 稽核記錄檔記錄中的 methodName 值不一定正確。建議您不要依 methodName 篩選 Cloud Storage 稽核記錄。

  • 在某些情況下，即使存取遭拒，Cloud Storage 舊版 bucket 記錄仍可寫入 service perimeter 以外的目的地。

  • 在某些情況下，即使您在 Cloud Storage 物件上啟用 VPC Service Controls，仍可存取這些物件。在內建快取和使用者與 Cloud Storage 之間網路上的任何其他上游快取到期前，系統仍可存取這些物件。根據預設，Cloud Storage 會在 Cloud Storage 網路中快取可公開存取的資料。如要進一步瞭解 Cloud Storage 物件的快取方式，請參閱 Cloud Storage。如要瞭解物件的快取時間長度，請參閱「快取控制中繼資料」。

  • 為服務範圍指定輸入或輸出政策時，您無法使用 ANY_SERVICE_ACCOUNT 和 ANY_USER_ACCOUNT 做為身分類型，透過已簽署的網址執行所有 Cloud Storage 作業。

    如要解決這個問題，請改用 ANY_IDENTITY 做為身分類型。

  • 經簽署的網址支援 VPC Service Controls。

    VPC Service Controls 會使用簽署已簽署網址的使用者或服務帳戶的簽署憑證，評估 VPC Service Controls 檢查，而不是啟動連線的呼叫端或使用者憑證。

    不過，VPC Service Controls 會根據要求來源網路，封鎖從 perimeter 外部存取簽署網址的要求。如要允許這類存取，您必須在 perimeter 中定義存取層級或輸入規則。

  • VPC Service Controls 會保護 Storage Intelligence 和 Storage Intelligence 顧問 API。

    VPC Service Controls 不支援將資料夾層級或組織層級資源新增至 service perimeter。因此，雖然您可以在資料夾、組織或專案層級啟用及使用 Storage Intelligence 和 Storage Intelligence 顧問，但 VPC Service Controls 只會保護專案層級的資源。如要在資料夾或機構層級控管 Storage Intelligence 和 Storage Intelligence 建議工具的存取權，請使用 IAM。

Cloud Tasks

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudtasks.googleapis.com
詳細資訊

Cloud Tasks 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

Cloud Tasks 執行作業的 HTTP 要求支援如下：

  • 允許向符合 VPC Service Controls 規範的 Cloud Run functions 和 Cloud Run 端點傳送已驗證的要求。
  • 系統會封鎖傳送至非 Cloud Run functions 和非 Cloud Run 端點的要求。
  • 系統會封鎖不符合 VPC Service Controls 規範的 Cloud Run 函式和 Cloud Run 端點要求。

如要進一步瞭解 Cloud Tasks，請參閱產品說明文件。
限制
VPC Service Controls 僅支援傳送至下列目標的 Cloud Tasks 要求：
  • Cloud Run functions functions.net 端點
  • Cloud Run run.app 端點
詳情請參閱「使用 VPC Service Controls 設定 service perimeter」。

Cloud SQL

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 sqladmin.googleapis.com
詳細資訊

VPC Service Controls perimeter 可保護 Cloud SQL Admin API。

如要進一步瞭解 Cloud SQL，請參閱產品說明文件。
限制

  • service perimeter 只會保護 Cloud SQL Admin API。無法保護 Cloud SQL 執行個體的 IP 型資料存取權。您必須使用組織政策限制，限制對 Cloud SQL 執行個體的公開 IP 存取權。
  • 為 Cloud SQL 設定 VPC Service Controls 前，請先啟用 Service Networking API。

  • Cloud SQL 匯入和匯出作業只能從與 Cloud SQL 副本執行個體位於相同服務邊界的 Cloud Storage bucket 讀取及寫入資料。

  • 在外部伺服器遷移流程中，您需要將 Cloud Storage bucket 新增至相同的服務邊界。

  • 在 CMEK 的金鑰建立流程中，使用下列其中一項設定：

    • 在與使用金鑰的資源 (例如 Cloud SQL) 相同的服務安全防護範圍中建立金鑰。
    • 透過範圍橋接器，在與保護 Cloud SQL 的服務範圍連線的服務範圍中建立金鑰。
  • 從備份還原執行個體時，目標執行個體必須與備份位於相同的 service perimeter。
  • 執行跨專案時間點復原時，目標執行個體必須與來源執行個體位於相同的 service perimeter。
  • AI 輔助疑難排解 (預先發布版) 不支援 service perimeter 內的 Cloud SQL 執行個體。

Video Intelligence API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 videointelligence.googleapis.com
詳細資訊

Video Intelligence API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Video Intelligence API，請參閱產品說明文件。
限制

Video Intelligence API 不會對 videos:annotate 要求輸出目的地的 VPC Service Controls 輸出內容強制執行限制。即使該 bucket 位於 service perimeter 外部，服務代理仍可將註解結果寫入 outputUri 中指定的 Cloud Storage bucket。為防止資料遭到竊取，請確認 outputUri 參照的值區與輸入值區位於相同的 service perimeter。

Cloud Vision API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 vision.googleapis.com
詳細資料

Cloud Vision API 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Vision API，請參閱產品說明文件。
限制
即使您建立輸出規則，允許從 VPC Service Controls 範圍內呼叫公開網址，Cloud Vision API 也會封鎖對公開網址的呼叫。

Artifact Analysis

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 containeranalysis.googleapis.com
詳細資料

如要搭配使用 Artifact Analysis 和 VPC Service Controls，您可能需要將其他服務新增至虛擬私有雲範圍：

Container Scanning API 是無介面 API，會將結果儲存在 Artifact Analysis 中，因此您不需要使用 service perimeter 保護 API。

如要進一步瞭解 Artifact Analysis，請參閱產品說明文件。
限制

Artifact Analysis 與 VPC Service Controls 整合時，沒有已知限制。

Container Registry

狀態
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 containerregistry.googleapis.com
詳細資訊

除了保護 Container Registry API 之外，Container Registry 也可以與 GKE 和 Compute Engine 搭配，在 service perimeter 內使用。

如要進一步瞭解 Container Registry，請參閱產品說明文件。
限制

  • 為服務安全防護範圍指定輸入或輸出政策時，您無法將 ANY_SERVICE_ACCOUNT 和 ANY_USER_ACCOUNT 做為所有 Container Registry 作業的身分類型。

    如要解決這個問題，請使用 ANY_IDENTITY 做為身分類型。

  • 由於 Container Registry 使用 gcr.io 網域，您必須設定 DNS，將 *.gcr.io 對應至 private.googleapis.com 或 restricted.googleapis.com。詳情請參閱「在 service perimeter 中保護 Container Registry」。

  • 除了 perimeter 內可供 Container Registry 使用的容器外，下列唯讀存放區也適用於所有專案，不受 service perimeter 強制執行的任何限制影響：

    • gcr.io/anthos-baremetal-release
    • gcr.io/asci-toolchain
    • gcr.io/cloud-airflow-releaser
    • gcr.io/cloud-builders
    • gcr.io/cloud-dataflow
    • gcr.io/cloud-ingest
    • gcr.io/cloud-marketplace
    • gcr.io/cloud-ssa
    • gcr.io/cloudsql-docker
    • gcr.io/config-management-release
    • gcr.io/deeplearning-platform-release
    • gcr.io/foundry-dev
    • gcr.io/fn-img
    • gcr.io/gae-runtimes
    • gcr.io/serverless-runtimes
    • gcr.io/gke-node-images
    • gcr.io/gke-release
    • gcr.io/gkeconnect
    • gcr.io/google-containers
    • gcr.io/kubeflow
    • gcr.io/kubeflow-images-public
    • gcr.io/kubernetes-helm
    • gcr.io/istio-release
    • gcr.io/ml-pipeline
    • gcr.io/projectcalico-org
    • gcr.io/rbe-containers
    • gcr.io/rbe-windows-test-images
    • gcr.io/speckle-umbrella
    • gcr.io/stackdriver-agents
    • gcr.io/tensorflow
    • gcr.io/vertex-ai
    • gcr.io/vertex-ai-restricted
    • gke.gcr.io
    • k8s.gcr.io

    在所有情況下，這些存放區的多區域版本也適用。

Google Kubernetes Engine

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 container.googleapis.com
詳細資訊

Kubernetes Engine API 可受到 VPC Service Controls 保護，且產品可在服務周邊內正常使用。這項相容性包括保護 GKE 的 DNS 端點，這項服務用於存取叢集的控制層，並使用 *.gke.goog 網域。

在 perimeter 限制 container.googleapis.com 服務時，perimeter 也會限制 GKE 的 DNS 端點。

如要進一步瞭解 Google Kubernetes Engine，請參閱產品說明文件。
限制

  • 如要全面保護 GKE API，您也必須將 Kubernetes Metadata API (kubernetesmetadata.googleapis.com) 納入 perimeter。
  • 這個表格中的 GKE 服務項目僅指定 GKE API 本身的控制項。GKE 仰賴多項其他基礎服務運作，例如 Compute Engine、Cloud Logging、Cloud Monitoring 和 Autoscaling API (autoscaling.googleapis.com)。如要透過 VPC Service Controls 有效保護 GKE 環境，請務必將所有必要的基礎服務納入 service perimeter。如需這些服務的完整清單，請參閱 GKE 說明文件。

Google Security Operations

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 chronicle.googleapis.com,
chronicleservicemanager.googleapis.com
詳細資料

Google Security Operations 的 API 可受到 VPC Service Controls 保護，且 Google SecOps 可在 service perimeter 內正常使用。如要在 VPC Service Controls 範圍內使用 Google SecOps，請參閱「設定 Google Security Operations 的 VPC Service Controls」。

如要進一步瞭解 Google Security Operations，請參閱產品說明文件。
限制

如要瞭解搭配使用 Google Security Operations 與 VPC Service Controls 的限制，請參閱「Google Security Operations 適用的 VPC Service Controls」。

Container Security API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 containersecurity.googleapis.com
詳細資料

Container Security API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Container Security API，請參閱產品說明文件。

限制

Container Security API 與 VPC Service Controls 的整合沒有已知限制。

圖片串流

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 containerfilesystem.googleapis.com
詳細資訊

映像檔串流是一項資料串流功能，可縮短從 Artifact Registry 提取容器映像檔的時間，適用於 GKE、Batch、Dataflow、Managed Service for Apache Spark 和 Cloud Workstations 等產品。如果 VPC Service Controls 會保護容器映像檔，且您使用映像檔串流，則必須在服務範圍內加入 Image streaming API。

如要進一步瞭解映像檔串流，請參閱產品說明文件。
限制

  • 無論 service perimeter 強制執行的任何限制，所有專案都可以使用下列唯讀存放區：

    • gcr.io/anthos-baremetal-release
    • gcr.io/asci-toolchain
    • gcr.io/cloud-airflow-releaser
    • gcr.io/cloud-builders
    • gcr.io/cloud-dataflow
    • gcr.io/cloud-ingest
    • gcr.io/cloud-marketplace
    • gcr.io/cloud-ssa
    • gcr.io/cloudsql-docker
    • gcr.io/config-management-release
    • gcr.io/deeplearning-platform-release
    • gcr.io/foundry-dev
    • gcr.io/fn-img
    • gcr.io/gae-runtimes
    • gcr.io/serverless-runtimes
    • gcr.io/gke-node-images
    • gcr.io/gke-release
    • gcr.io/gkeconnect
    • gcr.io/google-containers
    • gcr.io/kubeflow
    • gcr.io/kubeflow-images-public
    • gcr.io/kubernetes-helm
    • gcr.io/istio-release
    • gcr.io/ml-pipeline
    • gcr.io/projectcalico-org
    • gcr.io/rbe-containers
    • gcr.io/rbe-windows-test-images
    • gcr.io/speckle-umbrella
    • gcr.io/stackdriver-agents
    • gcr.io/tensorflow
    • gcr.io/vertex-ai
    • gcr.io/vertex-ai-restricted
    • gke.gcr.io
    • k8s.gcr.io

機群

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 gkeconnect.googleapis.com,
gkehub.googleapis.com,
connectgateway.googleapis.com
詳細資料

機群管理 API (包括 Connect 閘道) 可透過 VPC Service Controls 保護，且機群管理功能可在 service perimeter 內正常使用。詳情請參閱下列資源：

如要進一步瞭解機群，請參閱產品說明文件。
限制

  • 雖然所有機群管理功能都能正常使用，但如果為 Stackdriver API 啟用 service perimeter，Policy Controller 機群功能就無法與 Security Command Center 整合。
  • 使用 Connect 閘道存取 GKE 叢集時，系統不會強制執行 container.googleapis.com 的 VPC Service Controls perimeter。

FleetPackage API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 configdelivery.googleapis.com
詳細資訊

FleetPackage API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 FleetPackage API，請參閱產品說明文件。
限制

FleetPackage API 與 VPC Service Controls 的整合沒有已知限制。

Resource Manager

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudresourcemanager.googleapis.com
詳細資訊

下列 Cloud Resource Manager API 方法可受 VPC Service Controls 保護：

如要進一步瞭解 Resource Manager，請參閱產品說明文件。
限制

  • 只有專案資源直接做為父項的標記鍵和對應的標記值，才能使用 VPC Service Controls 保護。將專案新增至 VPC Service Controls 範圍後，專案下的所有標記鍵和對應的標記值都會視為範圍內的資源。
  • 以機構資源為上層的標記鍵及其對應的標記值，無法納入 VPC Service Controls perimeter，也無法使用 VPC Service Controls 保護。
  • 除非在 perimeter 上設定允許存取的輸出規則，否則 VPC Service Controls perimeter 內的用戶端無法存取由機構資源做為父項的標記鍵和對應值。如要進一步瞭解如何設定輸出規則，請參閱「輸入和輸出規則」。
  • 標記繫結會視為與標記值繫結的資源位於同一範圍內。舉例來說，無論標記鍵定義於何處，專案中 Compute Engine 執行個體的標記繫結都會視為屬於該專案。
  • 除了 Resource Manager 服務 API，部分服務 (例如 Compute Engine) 也允許使用自己的服務 API 建立標記繫結。舉例來說，在建立資源時，將標記新增至 Compute Engine VM。如要保護使用這些服務 API 建立或刪除的代碼繫結，請將對應的服務 (例如 compute.googleapis.com) 新增至安全防護範圍的受限服務清單。
  • 標記支援方法層級限制，因此您可以將 method_selectors 範圍限定為特定 API 方法。如需可限制的方法清單，請參閱「支援的服務方法限制」。
  • VPC Service Controls 現在支援透過 Google Cloud 控制台授予專案的擁有者角色。您無法在 service perimeter 外部傳送擁有者邀請或接受邀請。如果您嘗試接受來自 perimeter 外部的邀請，系統不會授予您擁有者角色，也不會顯示任何錯誤或警告訊息。

Cloud Logging

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 logging.googleapis.com
詳細資訊

Cloud Logging 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Logging，請參閱產品說明文件。
限制

  • 匯總記錄檔接收器 (includeChildren 為 true 的資料夾或組織接收器) 可存取 service perimeter 內專案的資料。如要限制匯總記錄檔接收器存取範圍內的資料，建議您使用 IAM 管理資料夾或機構層級的記錄權限。

  • 您無法使用 VPC Service Controls 保護資料夾層級和組織層級記錄，包括匯總記錄。雖然您可以將資料夾新增至一般服務範圍，但這麼做只會保護資料夾階層中的專案，不會保護資料夾層級的資源或記錄。您無法將組織新增為 service perimeter 中的受保護資源。

  • 如果您使用組織層級或資料夾層級的記錄檔接收器，將記錄檔轉送至受 service perimeter 保護的資源，則必須在 service perimeter 新增輸入規則。輸入規則必須允許記錄檔接收器使用的服務帳戶存取資源。專案層級接收器則不必執行這個步驟。

    如需詳細資訊，請參閱以下頁面：

  • 如果記錄檔接收器將記錄項目轉送至 Cloud Storage 資源，則在指定 service perimeter 的輸入或輸出政策時，您無法使用 ANY_SERVICE_ACCOUNT 或 ANY_USER_ACCOUNT 做為身分類型。請使用 ANY_IDENTITY 做為這個資源的 ID 類型。

Certificate Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 certificatemanager.googleapis.com
詳細資訊

Certificate Manager 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Certificate Manager，請參閱產品說明文件。
限制

Certificate Manager 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Monitoring

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 monitoring.googleapis.com
詳細資訊

Cloud Monitoring API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Monitoring，請參閱產品說明文件。
限制

  • 通知管道、快訊政策和自訂指標可一併使用，以竊取資料/中繼資料。從今天起，監控服務使用者可以設定指向機構外部實體的通知管道，例如「baduser@badcompany.com」。接著，使用者會設定自訂指標和相應的警告政策，並使用通知管道。因此，使用者可以透過操控自訂指標觸發警告，並傳送警告觸發通知，將機密資料竊取至 VPC Service Controls 範圍外的 baduser@badcompany.com。

  • 任何已安裝 Monitoring 代理程式的 Compute Engine 或 AWS VM 都必須位於 VPC Service Controls 範圍內，否則代理程式指標寫入作業會失敗。

  • 任何 GKE Pod 都必須位於 VPC Service Controls 範圍內，否則 GKE Monitoring 將無法運作。

  • 查詢指標範圍的指標時，系統只會考量指標範圍限定專案的 VPC Service Controls 範圍。系統不會考量指標範圍內個別受監控專案的 perimeter。

  • 只有當專案與指標範圍的範圍界定專案位於相同的 VPC Service Controls 範圍時，專案才能新增為現有指標範圍的受監控專案。

  • 如要透過 Google Cloud 控制台存取受 service perimeter 保護的主機專案監控功能，請使用輸入規則。

  • 如果 Google Cloud 專案位於已啟用的 VPC Service Controls 範圍內，您就無法建立或修改公開運作時間檢查或綜合監控。不過，在 Google Cloud 專案加入安全防護範圍前建立的任何正常運作時間檢查或合成監控程序，都會繼續運作，您仍可查看及刪除這些項目。您可以建立及修改私人運作時間檢查。

Cloud Network Insights

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 networkmanagement.googleapis.com
詳細資訊

Cloud Network Insights API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Network Insights，請參閱產品說明文件。
限制

直接使用 Broadcom 的 AppNeta 服務存取網路中繼資料和探查結果時，系統不會強制執行 VPC Service Controls perimeter 限制。建議使用 IAM 和 IAM 拒絕政策來限制存取權。

Cloud Profiler

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudprofiler.googleapis.com
詳細資訊

Cloud Profiler 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Profiler，請參閱產品說明文件。
限制

Cloud Profiler 與 VPC Service Controls 的整合沒有任何已知限制。

Telemetry API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 telemetry.googleapis.com
詳細資訊

Telemetry API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Telemetry API，請參閱產品說明文件。
限制

Telemetry API 與 VPC Service Controls 的整合沒有已知限制。

Timeseries Insights API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 timeseriesinsights.googleapis.com
詳細資料

Timeseries Insights API 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Timeseries Insights API，請參閱產品說明文件。
限制

Timeseries Insights API 與 VPC Service Controls 的整合沒有已知限制。

Cloud Trace

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudtrace.googleapis.com
詳細資料

Cloud Trace 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Trace，請參閱產品說明文件。
限制

Cloud Trace 與 VPC Service Controls 的整合沒有已知限制。

Cloud TPU

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 tpu.googleapis.com
詳細資訊

Cloud TPU 的 API 可由 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud TPU，請參閱產品說明文件。
限制

Cloud TPU 與 VPC Service Controls 的整合沒有已知限制。

Natural Language API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 language.googleapis.com
詳細資訊

如要進一步瞭解 Natural Language API，請參閱產品說明文件。
限制

Natural Language API 是無狀態 API，不會在專案中執行，因此使用 VPC Service Controls 保護 Natural Language API 不會有任何效果。

NCC

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 networkconnectivity.googleapis.com
詳細資訊

NCC 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 NCC，請參閱產品說明文件。
限制

NCC 與 VPC Service Controls 整合時，沒有已知限制。

Cloud Asset API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudasset.googleapis.com
詳細資料

Cloud Asset API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Asset API，請參閱產品說明文件。
限制

  • VPC Service Controls 不支援從 service perimeter 內部的資源和用戶端，存取資料夾層級或組織層級的 Cloud Asset API 資源。VPC Service Controls 會限制專案層級的 Cloud Asset API 資源。您可以指定輸出政策，防止 perimeter 內部的專案存取專案層級的 Cloud Asset API 資源。
  • VPC Service Controls 不支援將資料夾層級或組織層級的 Cloud Asset API 資源新增至 service perimeter。您無法使用 perimeter 限制資料夾層級或組織層級的 Cloud Asset API 資源。如要在資料夾或機構層級管理 Cloud Asset Inventory 權限，建議使用 IAM。
  • VPC Service Controls 會限制專案層級的 Cloud Asset API 資源，但不會在資料夾層級或組織層級範圍強制執行限制。在 Google Cloud 控制台中使用資料夾或組織範圍查詢這些資源，可能會公開 service perimeter 內專案的資料。如要限制這些資源的存取權，請使用 IAM 控制項。

Speech-to-Text

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 speech.googleapis.com
詳細資訊

Speech-to-Text API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Speech-to-Text，請參閱產品說明文件。
限制

Speech-to-Text 與 VPC Service Controls 的整合沒有已知限制。

Text-to-Speech

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 texttospeech.googleapis.com
詳細資料

Text-to-Speech API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Text-to-Speech，請參閱產品說明文件。
限制

Text-to-Speech 與 VPC Service Controls 整合時，沒有已知限制。

翻譯

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 translate.googleapis.com
詳細資訊

Translation API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Translation，請參閱產品說明文件。
限制

Cloud Translation - Advanced (v3) 支援 VPC Service Controls，但 Cloud Translation - Basic (v2) 不支援。如要套用 VPC Service Controls，請務必使用 Cloud Translation - Advanced (v3)。如要進一步瞭解不同版本，請參閱「比較 Basic 和 Advanced」。

License Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 licensemanager.googleapis.com
詳細資訊

使用 License Manager API 為 License Manager 建立服務範圍，確保授權安全無虞。

如要進一步瞭解 License Manager，請參閱產品說明文件。
限制

License Manager 與 VPC Service Controls 的整合沒有已知限制。

Live Stream API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 livestream.googleapis.com
詳細資料

搭配使用 VPC Service Controls 與 Live Stream API，確保管道安全無虞。

如要進一步瞭解 Live Stream API，請參閱產品說明文件。
限制

如要使用 service perimeter 保護輸入端點，請按照操作說明設定私人集區，並透過私人連線傳送輸入影片串流。

Transcoder API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 transcoder.googleapis.com
詳細資料

Transcoder API 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Transcoder API，請參閱產品說明文件。
限制

Transcoder API 與 VPC Service Controls 整合時，沒有已知限制。

Video Stitcher API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 videostitcher.googleapis.com
詳細資料

Video Stitcher API 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Video Stitcher API，請參閱產品說明文件。
限制

Video Stitcher API 與 VPC Service Controls 的整合沒有已知限制。

存取權核准

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 accessapproval.googleapis.com
詳細資料

Access Approval 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解存取權核准，請參閱產品說明文件。
限制

存取核准與 VPC Service Controls 的整合沒有任何已知限制。

Cloud Healthcare API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 healthcare.googleapis.com
詳細資訊

Cloud Healthcare API 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Cloud Healthcare API，請參閱產品說明文件。
限制

VPC Service Controls 不支援 Cloud Healthcare API 中的客戶自行管理的加密金鑰 (CMEK)。

Storage 移轉服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 storagetransfer.googleapis.com
詳細資訊

服務安全防護範圍可保護 Storage 移轉服務 API 和 Cloud Storage 資源。根據設計，VPC Service Controls 不會限制從 Google Cloud 外部的來源 (例如 Amazon S3、Microsoft Azure Blob 儲存空間和 HTTP 網址/HTTPS 網址) 將資料匯入 service perimeter 內的 Cloud Storage bucket。

建議您將 Storage 移轉服務專案，放在與 Cloud Storage 資源相同的 service perimeter 內。這可保護移轉作業和 Cloud Storage 資源。Storage 移轉服務也支援 Storage 移轉服務專案與 Cloud Storage bucket 不在相同 perimeter 的情境，但須使用輸出政策。

如要瞭解設定資訊，請參閱「搭配使用 Storage 移轉服務與 VPC Service Controls」

Transfer Service for On Premises Data

如要瞭解 Transfer for 地端部署 的詳細資訊和設定資訊，請參閱「搭配使用 Transfer for 地端部署 與 VPC Service Controls」。

如要進一步瞭解 Storage 移轉服務，請參閱產品說明文件。

限制
  • VPC Service Controls 不會阻止從外部資料來源 (例如 Amazon S3、Microsoft Azure Blob Storage 或 HTTP/HTTPS 網址) 匯入資料，到受 service perimeter 保護的 Cloud Storage bucket。如要限制從外部來源轉移資料，請使用自訂組織政策限制或 IAM 控制項。
  • 如要在不同 service perimeter 的 Cloud Storage bucket 之間移轉資料，來源和目的地專案必須透過輸入/輸出規則或 perimeter bridge 連結。

Service Control

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 servicecontrol.googleapis.com
詳細資料

Service Control 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Service Control，請參閱產品說明文件。

限制

  • 從 service perimeter 內的虛擬私有雲網路呼叫 Service Control API 時，如果 Service Control 僅限回報帳單或分析指標，您只能使用 Service Control 報表方法，回報 VPC Service Controls 支援服務的指標。

Memorystore for Redis

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 redis.googleapis.com
詳細資訊

Memorystore for Redis 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Memorystore for Redis，請參閱產品說明文件。
限制

  • service perimeter 只會保護 Memorystore for Redis API。在相同網路中，perimeter 不會保護 Memorystore for Redis 執行個體的一般資料存取。

  • 如果 Cloud Storage API 也受到保護，則 Memorystore for Redis 匯入和匯出作業只能讀取及寫入與 Memorystore for Redis 執行個體位於相同 service perimeter 內的 Cloud Storage bucket。

  • 如果您同時使用 Shared VPC 和 VPC Service Controls，則必須將提供網路的主專案和包含 Redis 執行個體的服務專案，放在同一個 perimeter 內，Redis 要求才能成功。隨時以 perimeter 分隔主專案和服務專案，可能會導致 Redis 執行個體故障，並封鎖要求。詳情請參閱 Memorystore for Redis 設定需求。

Memorystore for Memcached

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 memcache.googleapis.com
詳細資訊

Memorystore for Memcached 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Memorystore for Memcached，請參閱產品說明文件。
限制

  • 服務範圍只會保護 Memorystore for Memcached API。對於同一網路中的 Memorystore for Memcached 執行個體，安全防護範圍不會保護正常資料存取。

Memorystore for Valkey

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 memorystore.googleapis.com
詳細資訊

  • service perimeter 只會保護 Memorystore for Valkey API。範圍不會保護同一網路中 Memorystore for Valkey 執行個體的一般資料存取。

  • 如果 Cloud Storage API 也受到保護，則 Memorystore for Valkey 匯入和匯出作業只能讀取及寫入與 Memorystore for Valkey 執行個體位於相同 service perimeter 的 Cloud Storage bucket。

  • 如果您同時使用 Shared VPC 和 VPC Service Controls，則必須將提供網路的主專案和包含 Redis 執行個體的服務專案，放在同一個 perimeter 內，Redis 要求才能成功。在任何時候，使用 perimeter 分隔主專案和服務專案，都可能導致 Redis 執行個體故障，以及要求遭到封鎖。詳情請參閱 Memorystore for Valkey 設定需求。

  • Memorystore for Valkey API 目前為 memorystore.googleapis.com。 因此，在 Google Cloud 控制台使用 VPC Service Controls 時，Memorystore for Valkey 的顯示名稱為「Memorystore API」。

如要進一步瞭解 Memorystore for Valkey，請參閱產品說明文件。
限制
Memorystore for Valkey 與 VPC Service Controls 整合時，沒有已知限制。

Service Directory

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 servicedirectory.googleapis.com
詳細資料

Service Directory 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Service Directory，請參閱產品說明文件。
限制

Service Directory 與 VPC Service Controls 整合時，沒有已知限制。

Transfer Appliance

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
使用安全範圍保護？ 否。Transfer Appliance 的 API 無法受到服務安全防護範圍保護。不過，Transfer Appliance 可以在 perimeter 內的專案中正常使用。
詳細資訊

Transfer Appliance 完整支援使用 VPC Service Controls 的專案。

Transfer Appliance 不提供 API，因此不支援 VPC Service Controls 中的 API 相關功能。

如要進一步瞭解 Transfer Appliance，請參閱產品說明文件。
限制

  • 如果 Cloud Storage 受到 VPC Service Controls 保護，您與 Transfer Appliance 團隊共用的 Cloud KMS 金鑰必須與目的地 Cloud Storage bucket 位於同一個專案。

Oracle Database@Google Cloud

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 oracledatabase.googleapis.com
詳細資料

Oracle Database@Google Cloud 的 API 可受到 VPC Service Controls 保護，且產品可在服務邊界內正常使用。

如要進一步瞭解 Oracle Database@Google Cloud，請參閱產品說明文件。
限制

  • VPC Service Controls perimeter 只會限制 Oracle Database@Google Cloud 控制層 API，也就是 oracledatabase.googleapis.com。服務安全防護範圍不會限制資料平面存取 Oracle Cloud Infrastructure (OCI) 環境中的基礎資料庫 (例如 Exadata 資料庫或 Autonomous Database)。
  • VPC Service Controls perimeter 不會限制 OCI 控制層 API。
  • 您無法使用 VPC Service Controls perimeter 直接限制 Oracle 虛擬雲端網路 (VCN)，因為 VCN 位於 Google Cloud外部。如要瞭解如何透過私人連線確保輸入和輸出流量安全，請參閱 OCI 文件：網路安全群組。
  • 您無法使用 VPC Service Controls perimeter，在 Google Cloud和 OCI 之間建立網路層。因此，服務 perimeter 不會監控或限制與 Oracle 資料庫建立的連線。

組織政策服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 orgpolicy.googleapis.com
詳細資訊

組織政策服務 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解組織政策服務，請參閱產品說明文件。

限制

VPC Service Controls 不支援對專案繼承的資料夾層級或組織層級組織政策設定存取限制。VPC Service Controls 會保護專案層級的組織政策服務 API 資源。

舉例來說，如果輸入規則限制使用者存取組織政策服務 API，該使用者在查詢專案強制執行的組織政策時，會收到 403 錯誤。不過，使用者仍可存取含有專案的資料夾和機構的組織政策。

OS 登入

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 oslogin.googleapis.com
詳細資訊

您可以在 VPC Service Controls 範圍內呼叫 OS 登入 API。如要從 VPC Service Controls perimeter 內管理 OS 登入，請設定 OS 登入。

VM 執行個體的 SSH 連線不受 VPC Service Controls 保護。

如要進一步瞭解 OS 登入，請參閱產品說明文件。
限制

讀取及寫入 SSH 金鑰的 OS 登入方法不會強制執行 VPC Service Controls 範圍。使用可透過虛擬私有雲存取的服務，停用 OS 登入 API 的存取權。

Personalized Service Health

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 servicehealth.googleapis.com
詳細資訊

Personalized Service Health 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Personalized Service Health，請參閱產品說明文件。
限制

VPC Service Controls 不支援 Service Health API 的 OrganizationEvents 和 OrganizationImpacts 資源。因此，呼叫這些資源的方法時，系統不會進行 VPC Service Controls 政策檢查。不過，您可以使用受限制的虛擬 IP，從 service perimeter 呼叫方法。

VM Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 osconfig.googleapis.com
詳細資訊

您可以在 VPC Service Controls 範圍內呼叫 OS Config API。如要在 VPC Service Controls 範圍內使用 VM 管理員，請設定 VM 管理員。

如要進一步瞭解 VM 管理員，請參閱產品說明文件。
限制
如要全面保護 VM 管理員，您必須在周邊範圍內納入下列所有 API：
  • OS Config API (osconfig.googleapis.com)
  • Compute Engine API (compute.googleapis.com)
  • Artifact Analysis API (containeranalysis.googleapis.com)
VM 管理員不會託管套件和修補程式內容。OS 修補程式管理服務會使用作業系統的更新工具，因此 VM 必須能夠擷取套件更新和修補程式。如要執行修補作業，您可能需要使用 Cloud NAT，或是在虛擬私有雲中託管自己的 Package Repository 或 Windows Server Update Service。

Workflows

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 workflows.googleapis.com
詳細資訊

Workflows 是一個自動化調度管理平台，可以合併 Google Cloud 服務和以 HTTP 為基礎的 API，按照您定義的順序執行服務。

使用服務安全防護範圍保護 Workflows API 時，Workflow Executions API 也會受到保護。您不必另外將 workflowexecutions.googleapis.com 新增至 perimeter 的受保護服務清單。

系統支援從 Workflows 執行作業發出的 HTTP 要求，如下所示：

  • 允許向符合 VPC Service Controls 規範的 Google Cloud 端點發出經過驗證的要求。
  • 允許對 Cloud Run functions 和 Cloud Run 服務端點提出要求。
  • 系統會封鎖對第三方端點的要求。
  • 系統會封鎖對不符合 VPC Service Controls 規範的端點提出的要求。 Google Cloud

如要進一步瞭解 Workflows，請參閱產品說明文件。
限制

Workflows 與 VPC Service Controls 的整合沒有已知限制。

Filestore

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 file.googleapis.com
詳細資料

Filestore 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Filestore，請參閱產品說明文件。
限制

  • 服務範圍只會保護 Filestore API。如果 Filestore 執行個體位於相同網路中，邊界無法保護正常的 NFS 資料存取。

  • 如果您同時使用 Shared VPC 和 VPC Service Controls，則必須將提供網路的主機專案，以及包含 Filestore 執行個體的服務專案，放在同一個 perimeter 內，Filestore 執行個體才能正常運作。使用安全防護範圍分隔主機專案和服務專案，可能會導致現有執行個體無法使用，且可能無法建立新的執行個體。

Parallelstore

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 parallelstore.googleapis.com
詳細資料

如要進一步瞭解 Parallelstore，請參閱產品說明文件。
限制

  • 如果同時使用 Shared VPC 和 VPC Service Controls，則提供網路的主機專案，以及包含 Parallelstore 執行個體的服務專案，必須位於相同 perimeter 內，Parallelstore 執行個體才能正常運作。如果使用 perimeter 分隔主專案和服務專案，現有執行個體可能會無法使用，且可能無法建立新的執行個體。

Container Threat Detection

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 containerthreatdetection.googleapis.com
詳細資料

Container Threat Detection 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Container Threat Detection，請參閱產品說明文件。
限制
您必須從 Container Threat Detection 服務帳戶，授予 service perimeter 的輸入存取權。詳情請參閱「 掃描受 service perimeter 保護的專案」。

廣告資料中心

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 adsdatahub.googleapis.com
詳細資訊

如要進一步瞭解廣告資料中心，請參閱產品說明文件。
限制

廣告資料中心和 VPC Service Controls 適用不同的服務條款。如需詳細資訊，請參閱各項產品的條款。

使用部分廣告資料中心功能 (例如自訂目標對象啟用、自訂出價和 LiveRamp 對照表) 時，必須將特定使用者資料匯出至 VPC Service Controls 範圍外。如果廣告資料中心已新增為受限制的服務，就會略過這些功能的 VPC Service Controls 政策，以利繼續運作。

所有相依服務都必須納入同一個 VPC Service Controls 範圍中，做為允許使用的服務。舉例來說，廣告資料中心需要使用 BigQuery，因此您也必須新增 BigQuery。一般而言，使用 VPC Service Controls 時，建議將所有服務納入範圍，也就是「限制所有服務」。

如果客戶的廣告資料中心帳戶屬於多層式結構 (例如擁有子公司的代理商)，應將所有管理員專案納入同一個範圍。為簡化作業，廣告資料中心建議採用多層式帳戶結構的客戶，將管理員專案都歸入同一個 Google Cloud 機構。

安全性權杖服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 sts.googleapis.com
詳細資訊

只有在要求中的目標對象是專案層級資源時，VPC Service Controls 才會限制權杖交換。舉例來說，VPC Service Controls 不會限制範圍縮減權杖的要求，因為這些要求沒有對象。

如要進一步瞭解 Security Token Service，請參閱產品說明文件。
限制

  • 建立輸入或輸出規則來允許權杖交換時，您必須將身分類型設為 ANY_IDENTITY，因為 token 方法沒有授權。

  • VPC Service Controls 不支援直接將組織層級資源新增至 perimeter，因此您必須為 Security Token Service API 要求設定輸出規則，並將目標對象設為員工身分聯盟集區。

Firestore/Datastore

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 firestore.googleapis.com, datastore.googleapis.com, firestorekeyvisualizer.googleapis.com
詳細資料

firestore.googleapis.com、datastore.googleapis.com 和 firestorekeyvisualizer.googleapis.com 服務會綁定在一起。在 perimeter 限制 firestore.googleapis.com 服務時，perimeter 也會限制 datastore.googleapis.com 和 firestorekeyvisualizer.googleapis.com 服務。您不必另外將這些服務新增至 perimeter 的受保護服務清單。

如要限制 datastore.googleapis.com 服務， 請使用 firestore.googleapis.com 服務名稱。

如要為匯入和匯出作業提供完整的輸出保護，請務必使用 Firestore 服務代理。詳情請參閱下列資源：

如要進一步瞭解 Firestore/Datastore，請參閱產品說明文件。
限制

Migrate to Virtual Machines

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 vmmigration.googleapis.com
詳細資訊

Migrate to Virtual Machines 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Migrate to Virtual Machines，請參閱產品說明文件。
限制

  • 如要全面保護 Migrate to Virtual Machines，請將下列所有 API 新增至 service perimeter：

    • Artifact Registry API (artifactregistry.googleapis.com)
    • Pub/Sub API (pubsub.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
    • Cloud Logging API (logging.googleapis.com)
    • Container Registry API (containerregistry.googleapis.com)
    • Secret Manager API (secretmanager.googleapis.com)
    • Compute Engine API (compute.googleapis.com)

    詳情請參閱 Migrate to Virtual Machines 說明文件。

Migration Center

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱
  • migrationcenter.googleapis.com
  • rapidmigrationassessment.googleapis.com
詳細資訊

VPC Service Controls 可讓您透過 service perimeter，保護使用 Migration Center 收集的基礎架構資料。

如要進一步瞭解 Migration Center，請參閱產品說明文件。
限制

啟用 service perimeter 後，就無法將基礎架構資料移轉至 StratoZone。

備份和災難復原服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 backupdr.googleapis.com
詳細資訊

備份和災難復原服務的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解備份和災難復原服務，請參閱產品說明文件。
限制

如果使用 gcloud services vpc-peerings enable-vpc-service-controls 指令從服務生產者專案中移除網際網路預設路由，可能就無法存取或部署管理控制台。如果遇到這個問題，請與 Google Cloud Customer Care 聯絡。

GKE 備份

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 gkebackup.googleapis.com
詳細資訊

您可以使用 VPC Service Controls 保護 GKE 備份，並在 service perimeter 內正常使用 GKE 備份功能。

如要進一步瞭解 GKE 備份，請參閱產品說明文件。
限制

GKE 備份與 VPC Service Controls 的整合沒有已知限制。

Retail API

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 retail.googleapis.com
詳細資料

Retail API 的 API 可受 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Retail API，請參閱產品說明文件。
限制

Retail API 與 VPC Service Controls 整合時，沒有已知限制。

Application Integration

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 integrations.googleapis.com
詳細資料

Application Integration 是協作式工作流程管理系統，可讓您建立、擴充、偵錯及瞭解核心業務系統工作流程。Application Integration 的工作流程是由觸發條件和工作組成。 觸發條件分為多種類型，例如 API 觸發條件/Pub/Sub 觸發條件/Cron 觸發條件/SFDC 觸發條件。

如要進一步瞭解 Application Integration，請參閱產品說明文件。
限制

  • VPC Service Controls 會保護 Application Integration 記錄。如果您使用 Application Integration，請向 Application Integration 團隊確認是否支援 vpcsc 整合。

Integration Connectors

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 connectors.googleapis.com
詳細資訊

Integration Connectors 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Integration Connectors，請參閱產品說明文件。
限制
  • 如要連線至非Google Cloud 後端 (例如地端部署系統或其他雲端中的服務)，您必須使用 Private Service Connect 連結。這樣一來，連線就會留在虛擬私有雲網路中，不會連上公用網際網路。如果沒有連結，就無法連線至這些後端。
  • 在 VPC Service Controls 範圍內使用事件訂閱時，不支援自動註冊後端。您必須手動設定後端，將事件傳送至連線的事件監聽器端點。這些事件訂閱項目也需要 Private Service Connect 連結。

Error Reporting

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 clouderrorreporting.googleapis.com
詳細資料

Error Reporting 的 API 可受到 VPC Service Controls 保護，且產品可在服務周邊內正常使用。

如要進一步瞭解錯誤回報功能，請參閱產品說明文件。
限制
系統在發現新的或重複發生的錯誤群組時，會傳送通知，其中包含錯誤群組的相關資訊。為防止資料竊取至 VPC Service Controls 範圍外，請確保通知管道位於貴組織內。

Cloud Workstations

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 workstations.googleapis.com
詳細資料

Cloud Workstations 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Workstations，請參閱產品說明文件。
限制

  • 如要全面保護 Cloud Workstations，每當您限制 Cloud Workstations API 時，也必須限制 service perimeter 中的 Compute Engine API。
  • 確認 Google Cloud Storage API、Google Container Registry API 和 Artifact Registry API 在 service perimeter 中 可透過虛擬私有雲存取。必須具備這項權限，才能將映像檔提取至工作站。雖然並非使用 Cloud Workstations 的必要條件，但我們也建議您允許 Cloud Logging API 和 Cloud Error Reporting API 在 service perimeter 內透過虛擬私有雲存取。
  • 確認工作站叢集為私人。設定私人叢集後，系統會禁止從虛擬私有雲服務範圍外連線至工作站。
  • 請務必在工作站設定中停用公開 IP 位址。否則專案中的 VM 會使用公開 IP 位址。強烈建議您使用constraints/compute.vmExternalIpAccess組織政策限制，為 VPC service perimeter 內的所有 VM 停用公用 IP 位址。詳情請參閱「將外部 IP 位址限制為特定 VM」。
  • 連線至工作站時，存取控管機制只會根據您連線的私人網路是否屬於安全範圍，不支援根據裝置、公開 IP 位址或位置控管存取權。

Cloud IDS

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ids.googleapis.com
詳細資訊

Cloud IDS 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud IDS，請參閱產品說明文件。
限制

Cloud IDS 會使用 Cloud Logging，在專案中建立威脅記錄。如果 Cloud Logging 受到 service perimeter 限制，即使 Cloud IDS 未列入 perimeter 的受限制服務清單，VPC Service Controls 仍會封鎖 Cloud IDS 威脅記錄。如要在 service perimeter 內使用 Cloud IDS，請在 service perimeter 中設定 Cloud Logging 服務帳戶的輸入規則。

Chrome Enterprise Premium

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 beyondcorp.googleapis.com
詳細資料

如要進一步瞭解 Chrome Enterprise 進階版，請參閱產品說明文件。
限制

Chrome Enterprise 進階版與 VPC Service Controls 的整合功能沒有已知限制。

政策疑難排解工具

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 policytroubleshooter.googleapis.com
詳細資料

如果使用 perimeter 限制政策疑難排解工具 API，只有在要求涉及的所有資源都位於相同 perimeter 時，主體才能排解 IAM 允許政策的問題。疑難排解要求通常會涉及兩項資源：

  • 要排解存取權問題的資源。這項資源可以是任何類型。排解允許政策問題時，您必須明確指定這項資源。

  • 您用來排解存取問題的資源。這項資源可以是專案、資料夾或組織。在 Google Cloud 控制台和 gcloud CLI 中，系統會根據您選取的專案、資料夾或組織推論這項資源。在 REST API 中，您可以使用 x-goog-user-project 標頭指定這項資源。

    這個資源可以與您要排解存取權問題的資源相同，但不必如此。

如果這些資源不在同一個範圍內，要求就會失敗。

如要進一步瞭解政策疑難排解工具，請參閱產品說明文件。
限制

政策疑難排解工具 與 VPC Service Controls 的整合沒有已知限制。

政策模擬器

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 policysimulator.googleapis.com
詳細資訊

模擬機構政策或允許和拒絕政策時，您可以透過安全防護範圍限制 Policy Simulator API。

主體可以按照預期，在 service perimeter 內模擬組織政策。

只有在模擬作業涉及的特定資源位於相同 perimeter 時，主體才能模擬允許政策。允許政策模擬作業涉及多項資源：

  • 要模擬允許政策的資源。這項資源也稱為「目標資源」。在 Google Cloud 控制台中，這是您要編輯允許政策的資源。在 gcloud CLI 和 REST API 中，您必須在模擬允許政策時明確指定這項資源。

  • 建立及執行模擬作業的專案、資料夾或機構。這項資源也稱為主機資源。在 Google Cloud 控制台和 gcloud CLI 中，系統會根據您選取的專案、資料夾或組織推論這項資源。在 REST API 中，您可以使用 x-goog-user-project 標頭指定這項資源。

    這項資源可以與您要模擬存取權的資源相同，但不必如此。

  • 提供模擬存取記錄的資源。在模擬作業中，一律會有一項資源提供模擬作業的存取記錄。這個資源會因目標資源類型而異：

    • 如果您要模擬專案或組織的允許政策，Policy Simulator 會擷取該專案或組織的存取記錄。
    • 如果您模擬的是其他類型資源的允許政策，Policy Simulator 會擷取該資源父項專案或組織的存取記錄。
    • 如果您要一次模擬多項資源的允許政策，Policy Simulator 會擷取資源最近的共同專案或機構的存取記錄。
  • 所有支援的資源，且具有相關的允許政策。 Policy Simulator 執行模擬作業時，會考量可能影響使用者存取權的所有允許政策，包括目標資源的上層和下層資源允許政策。因此，這些祖系和子系資源也會納入模擬作業。

如果目標資源和主機資源不在同一個 perimeter 內，要求就會失敗。

如果目標資源和為模擬作業提供存取記錄的資源不在同一個 perimeter 內，要求就會失敗。

如果目標資源和部分支援資源 (具有相關允許政策) 不在同一週邊，要求會成功，但結果可能不完整。舉例來說，如果您要模擬 perimeter 中專案的政策，結果不會包含專案上層組織的允許政策，因為組織一律位於 VPC Service Controls perimeter 外部。如要取得更完整的結果，您可以為 perimeter 設定輸入和輸出規則。

如要進一步瞭解 Policy Simulator，請參閱產品說明文件。
限制

  • VPC Service Controls 不支援將資料夾層級或組織層級資源新增至 service perimeter。因此，您無法使用 VPC Service Controls 保護資料夾層級和機構層級的拒絕政策模擬。對 service perimeter 以外的資源執行拒絕政策模擬作業，仍會傳回完整結果，而對專案層級資源執行拒絕政策模擬作業則會受到保護。

重要聯絡人

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 essentialcontacts.googleapis.com
詳細資訊

Essential Contacts 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解重要聯絡人，請參閱產品說明文件。
限制

將重要聯絡人與 VPC Service Controls 整合時，沒有任何已知限制。

Identity Platform

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 identitytoolkit.googleapis.com,
securetoken.googleapis.com
詳細資訊

Identity Platform 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Identity Platform，請參閱產品說明文件。
限制

  • 如要全面保護 Identity Platform，請將 Secure Token API (securetoken.googleapis.com) 新增至服務周邊，允許權杖重新整理。securetoken.googleapis.com 未列在 Google Cloud 控制台的「VPC Service Controls」頁面上。您只能使用 gcloud access-context-manager perimeters update 指令新增這項服務。

  • 如果應用程式也整合了封鎖函式功能，請將 Cloud Run functions (cloudfunctions.googleapis.com) 新增至服務周邊。

  • 使用以簡訊為基礎的多重驗證 (MFA)、電子郵件驗證或第三方身分識別提供者，會導致資料傳送至安全範圍外。如果您未使用簡訊、電子郵件驗證或第三方身分識別資訊提供者進行多重驗證，請停用這些功能。

GKE Multi-Cloud

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 gkemulticloud.googleapis.com
詳細資料

GKE Multi-Cloud 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 GKE Multi-Cloud，請參閱產品說明文件。
限制

  • 如要全面保護 GKE Multi-cloud API，您也必須在周邊範圍內納入 Kubernetes Metadata API (kubernetesmetadata.googleapis.com)。

GKE On-Prem API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 gkeonprem.googleapis.com
詳細資料

GKE On-Prem API 可受到 VPC Service Controls 保護，且 API 可在服務周邊內正常使用。

如要進一步瞭解 GKE On-Prem API，請參閱產品說明文件。
限制

  • 如要完整保護 GKE On-Prem API，請將下列所有 API 新增至 service perimeter：

    • Kubernetes Metadata API (kubernetesmetadata.googleapis.com)
    • Cloud Monitoring API (monitoring.googleapis.com)
    • Cloud Logging API (logging.googleapis.com)
      • 請注意，VPC Service Controls 無法防範資料夾或機構層級的 Cloud Logging 記錄匯出作業。

Bare Metal 適用的 Google Distributed Cloud (僅限軟體)

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 不可以。Google Distributed Cloud (僅限軟體) for bare metal 的 API 無法受到 service perimeter 保護。不過，裸機適用的 Google Distributed Cloud (僅限軟體) 可以在 perimeter 內的專案中正常使用。
詳細資訊

您可以在環境中建立叢集，並使用 Cloud Interconnect 或 Cloud VPN 將叢集連線至虛擬私有雲。

如要進一步瞭解裸機適用的 Google Distributed Cloud (僅限軟體)，請參閱產品說明文件。
限制

  • 如要保護叢集，請在 Google Distributed Cloud (僅限軟體) 裸機版中使用受限 VIP，並將下列所有 API 新增至 service perimeter：

    • Artifact Registry API (artifactregistry.googleapis.com)
    • Google Cloud Resource Manager API (cloudresourcemanager.googleapis.com)
    • Compute Engine API (compute.googleapis.com)
    • Connect Gateway API (connectgateway.googleapis.com)
    • Google Container Registry API (containerregistry.googleapis.com)
    • GKE Connect API (gkeconnect.googleapis.com)
    • GKE Hub API (gkehub.googleapis.com)
    • GKE On-Prem API (gkeonprem.googleapis.com)
    • Cloud IAM API (iam.googleapis.com)
    • Cloud Logging API (logging.googleapis.com)
    • Cloud Monitoring API (monitoring.googleapis.com)
    • Ops API 的設定監控 (opsconfigmonitoring.googleapis.com)
    • Service Control API (servicecontrol.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)

On-Demand Scanning API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ondemandscanning.googleapis.com
詳細資料

On-Demand Scanning API 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 On-Demand Scanning API，請參閱產品說明文件。
限制

On-Demand Scanning API 與 VPC Service Controls 整合時，沒有已知限制。

Looker (Google Cloud Core)

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 looker.googleapis.com
詳細資訊

Looker (Google Cloud Core) 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Looker (Google Cloud Core)，請參閱產品說明文件。
限制

  • 只有使用私人 IP 連線的企業版或嵌入版 Looker (Google Cloud Core) 執行個體，才支援 VPC Service Controls 法規遵循。如果 Looker (Google Cloud Core) 執行個體採用公開 IP 連線，或同時使用公開和私人 IP 連線，則不支援 VPC Service Controls 法規遵循。如要建立採用私人 IP 連線的執行個體，請前往 Google Cloud 控制台的「建立執行個體」頁面，在「網路」部分選取「私人 IP」。

  • 在 VPC Service Controls 服務範圍內放置或建立 Looker (Google Cloud Core) 執行個體時，您必須呼叫 services.enableVpcServiceControls 方法或執行下列 gcloud 指令，移除網際網路的預設路徑：

    gcloud services vpc-peerings enable-vpc-service-controls --network=your-network service=servicenetworking.googleapis.com

    移除預設路徑後，傳出流量僅限於符合 VPC Service Controls 規範的服務。舉例來說，傳送電子郵件會失敗，因為用於傳送電子郵件的 API 不符合 VPC Service Controls 規範。

  • 如果您使用 Shared VPC，請務必將 Looker (Google Cloud Core) 服務專案納入與 Shared VPC 主專案相同的 service perimeter，或在這兩個專案之間建立重疊範圍。如果 Looker (Google Cloud Core) 服務專案和 Shared VPC 主專案不在同一個 perimeter 內，或無法透過 perimeter bridge 通訊，執行個體建立作業可能會失敗，或 Looker (Google Cloud Core) 執行個體可能無法正常運作。

  • 如果您使用 數據分析 Pro 或 Studio in Looker}，Looker 連接器無法連線至 VPC Service Controls 範圍內的 Looker (Google Cloud Core) 執行個體。如要進一步瞭解 Looker 連接器的限制，請參閱「Looker 連接器需求、限制和功能支援總覽」說明文件頁面。

Public Certificate Authority

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 publicca.googleapis.com
詳細資料

Public Certificate Authority 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解公開認證授權單位，請參閱產品說明文件。
限制

Public Certificate Authority 與 VPC Service Controls 的整合沒有已知限制。

儲存空間批次作業

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 storagebatchoperations.googleapis.com
詳細資料
  • 如要搭配儲存空間批次作業使用 VPC Service Controls，請建立服務範圍，保護下列專案和 Google Cloud 服務：
    • Cloud Storage 專案
    • 儲存空間批次作業 API (storagebatchoperations.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
    • 選用：Cloud KMS API (如果您使用物件加密金鑰更新工作類型，則為 cloudkms.googleapis.com))。
  • 如要允許從 perimeter 外部存取儲存空間批次作業，您必須設定輸入政策。

如要進一步瞭解儲存空間批次作業，請參閱產品說明文件。
限制

儲存空間批次作業與 VPC Service Controls 的整合沒有已知限制。

Storage Insights

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 storageinsights.googleapis.com
詳細資訊

儲存空間分析 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解儲存空間分析，請參閱產品說明文件。
限制

儲存空間分析 與 VPC Service Controls 整合時，沒有已知限制。

Dataflow 資料管道

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 datapipelines.googleapis.com
詳細資料

如要全面保護 Dataflow Data Pipelines，請在 perimeter 中加入下列所有 API：

  • Dataflow API (dataflow.googleapis.com)
  • Cloud Scheduler API (cloudscheduler.googleapis.com)
  • Container Registry API (containerregistry.googleapis.com)

如要進一步瞭解 Dataflow 資料管道，請參閱產品說明文件。
限制

Dataflow Data Pipelines 與 VPC Service Controls 整合，沒有已知限制。

Security Command Center

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 securitycenter.googleapis.com,
securitycentermanagement.googleapis.com
詳細資訊

Security Command Center 的 API 可受到 VPC Service Controls 保護，且 Security Command Center 可在 service perimeter 內正常使用。

securitycenter.googleapis.com 和 securitycentermanagement.googleapis.com 服務會綁在一起。在 perimeter 限制 securitycenter.googleapis.com 服務時，perimeter 預設會限制 securitycentermanagement.googleapis.com 服務。由於 securitycentermanagement.googleapis.com 服務與 securitycenter.googleapis.com 服務綁定，因此無法新增至 perimeter 的受限服務清單。

如要進一步瞭解 Security Command Center，請參閱產品說明文件。
限制

  • VPC Service Controls 不支援從 service perimeter 內部的資源和用戶端，存取資料夾層級或機構層級的 Security Command Center API 資源。VPC Service Controls 可保護專案層級的 Security Command Center API 資源。您可以指定輸出政策，防止 perimeter 內部的專案存取專案層級的 Security Command Center API 資源。
  • VPC Service Controls 不支援將資料夾層級或機構層級的 Security Command Center API 資源新增至服務範圍。您無法使用 perimeter 保護資料夾層級或組織層級的 Security Command Center API 資源。如要在資料夾或組織層級管理 Security Command Center 權限，建議使用 IAM。
  • VPC Service Controls 不支援資安態勢服務，因為資安態勢資源 (例如資安態勢、資安態勢部署和預先定義的防護機制範本) 屬於組織層級資源。
  • 您無法將資料夾或機構層級的調查結果匯出至服務安全防護範圍內的目的地。
  • VPC Service Controls 不支援 Google Security Operations (Google Security Operations SIEM 和 Google Security Operations SOAR)。如果在 service perimeter 內的專案啟用 Security Command Center Enterprise，可能會導致不支援的資安營運服務違規。如果您已設定 VPC Service Controls，請先將專案和客戶自行管理的加密金鑰 (CMEK) 專案的 Cloud Key Management Service (Cloud KMS) 移出 VPC Service Controls perimeter，再建立 Google Security Operations 執行個體。 Google Cloud
  • 在下列情況中，您必須啟用 perimeter 存取權：

Cloud Customer Care

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudsupport.googleapis.com
詳細資訊

Cloud Customer Care 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Cloud Customer Care，請參閱產品說明文件。
限制

VPC Service Controls 可保護透過 Cloud Support API 存取的資料，但無法保護透過 Google Cloud 控制台存取的資料。

AI 應用程式 - 代理搜尋

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 discoveryengine.googleapis.com
詳細資訊

AI 應用程式 - Agent Search 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 AI Applications - Agent Search，請參閱產品說明文件。
限制
如果您將代理搜尋小工具設為公開存取 (即不使用 OAuth 權杖)，系統會透過 Google 代管的服務代理，呼叫 API 後端。由於這類流量不含驗證權杖，因此要求可以有效略過貴組織設定的 VPC Service Controls 輸入規則。即使您在 VPC Service Controls 範圍內保護 discoveryengine.googleapis.com 服務，仍可從該範圍外存取具有公開存取權的小工具。如果貴機構需要強制執行 VPC Service Controls，以保護機密資料，請勿啟用具有公開存取權的小工具。

Confidential Space

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 confidentialcomputing.googleapis.com
詳細資料

為確保 Confidential Space 能跨 perimeter 邊界正常運作，您必須設定 輸出規則。

  • 如果 Confidential Space 需要存取 perimeter 外部的 Cloud Storage bucket，請建立 輸出規則，允許存取這些 bucket。
  • 如果您要在 perimeter 外的 Compute Engine 資源上啟用 Confidential Space API，請建立 輸出規則，允許存取這個 API。

如要進一步瞭解 Confidential Space，請參閱產品說明文件。
限制

序列埠控制台

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ssh-serialport.googleapis.com
詳細資料

如要透過 VPC Service Controls 保護連線至虛擬機器 (VM) 執行個體的序列控制台，您必須為 service perimeter 指定輸入規則。設定輸入規則時，來源的存取層級必須是 IP 值，且服務名稱必須設為 ssh-serialport.googleapis.com。即使來源要求和目標資源位於相同 perimeter，也必須設定輸入規則，才能存取序列控制台。

如要進一步瞭解序列控制台，請參閱產品說明文件。
限制
  • 您無法使用瀏覽器中的 SSH 存取序列控制台。
  • 您無法使用 Private Google Access 存取序列控制台。您只能透過公用網際網路存取序列埠控制台。
  • 使用序列控制台時，無法透過以身分為基礎的輸入或輸出規則，允許存取序列控制台。

Google Cloud VMware Engine

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 vmwareengine.googleapis.com
詳細資訊 如要進一步瞭解 VMware Engine Service Controls，請參閱「搭配使用 VPC Service Controls 與 VMware Engine」。

如要進一步瞭解 Google Cloud VMware Engine，請參閱產品說明文件。
限制
將現有 VMware Engine 網路、私有雲、網路政策和虛擬私有雲對等互連新增至虛擬私有雲服務範圍時，系統不會再次檢查先前建立的資源是否仍符合範圍政策。

Dataform

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 dataform.googleapis.com
詳細資訊

如要瞭解如何使用 VPC Service Controls 控制 Dataform 的存取權，請參閱「為 Dataform 設定 VPC Service Controls」。

如要進一步瞭解 Dataform，請參閱產品說明文件。
限制
使用 VPC Service Controls 限制 Dataform 時，請務必執行下列操作：

Web Security Scanner

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 websecurityscanner.googleapis.com
詳細資訊

Web Security Scanner 和 VPC Service Controls 適用不同的服務條款。詳情請參閱各項產品的條款。

Web Security Scanner 會視需要將發現項目傳送至 Security Command Center。您可以在 Security Command Center 資訊主頁中查看或下載資料。

如要進一步瞭解 Web Security Scanner，請參閱產品說明文件。
限制

Web Security Scanner 與 VPC Service Controls 整合時，沒有已知限制。

Secure Source Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 securesourcemanager.googleapis.com
詳細資訊
  • 建立 Secure Source Manager VPC Service Controls 執行個體前，您必須先使用有效的憑證授權單位設定憑證授權單位服務。
  • 您必須先設定 Private Service Connect，才能存取 Secure Source Manager VPC Service Controls 執行個體。

如要進一步瞭解 Secure Source Manager，請參閱產品說明文件。
限制

  • SERVICE_NOT_ALLOWED_FROM_VPC 稽核記錄違規事項是由 GKE 限制造成，可以忽略。
  • 如要透過瀏覽器開啟 VPC Service Controls 網頁介面，瀏覽器必須能存取下列網址：
    • https://accounts.google.com
    • https://LOCATION_OF_INSTANCE-sourcemanagerredirector-pa.client6.google.com
      • 例如 https://us-central1-sourcemanagerredirector-pa.client6.google.com。
    • https://lh3.googleusercontent.com

Secure Web Proxy

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 networkservices.googleapis.com,
networksecurity.googleapis.com
詳細資訊
  • Secure Web Proxy 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。
  • 如果您使用憑證佈建 Proxy，則必須在 service perimeter 中加入 Certificate Manager API (certificatemanager.googleapis.com)。
  • 如果為 Proxy 啟用 TLS 檢查，則服務安全防護範圍也必須包含憑證授權單位服務 API (privateca.googleapis.com)。

如要進一步瞭解 Secure Web Proxy，請參閱產品說明文件。
限制

Secure Web Proxy 與 VPC Service Controls 的整合沒有已知限制。

API 金鑰

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 apikeys.googleapis.com
詳細資料

API 金鑰的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 API 金鑰，請參閱產品說明文件。
限制

API 金鑰與 VPC Service Controls 的整合沒有已知限制。

App Lifecycle Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 saasservicemgmt.googleapis.com
詳細資料

App Lifecycle Manager 可大規模管理 Terraform 部署作業，讓您同時管理應用程式和執行該應用程式的基礎架構。

如要進一步瞭解 App Lifecycle Manager，請參閱產品說明文件。
限制

App Lifecycle Manager 與 VPC Service Controls 整合時，沒有已知限制。

Sovereign Controls by Partners 中的合作夥伴控制台
狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudcontrolspartner.googleapis.com
詳細資訊

Cloud Controls Partner API 可受到 VPC Service Controls 保護，且產品可在服務邊界內正常使用。

如要進一步瞭解 Sovereign Controls by Partners 的合作夥伴控制台，請參閱產品說明文件。
限制
  • 這項服務必須對所有非合作夥伴設限。如果您是支援 Sovereign Controls by Partners 的合作夥伴，可以使用 service perimeter 保護這項服務。

微服務

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 microservices.googleapis.com
詳細資訊

VPC Service Controls 可保護微服務的 API，且產品可在服務範圍內正常使用。

如要進一步瞭解微服務，請參閱產品說明文件。
限制

Microservices 與 VPC Service Controls 整合時，沒有已知限制。

Earth Engine

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 earthengine.googleapis.com,
earthengine-highvolume.googleapis.com
詳細資料

earthengine.googleapis.com 和 earthengine-highvolume.googleapis.com 服務會綁在一起。在 perimeter 中限制 earthengine.googleapis.com 服務時，perimeter 預設會限制 earthengine-highvolume.googleapis.com 服務。由於 earthengine-highvolume.googleapis.com 與 earthengine.googleapis.com 綁定，因此無法將 服務新增至 perimeter 的受限服務清單。

如要進一步瞭解 Earth Engine，請參閱產品說明文件。
限制
  • Earth Engine 程式碼編輯器是 Earth Engine JavaScript API 的網頁式 IDE，不受支援，且 VPC Service Controls 不允許將 Earth Engine 程式碼編輯器與 service perimeter 內的資源和用戶端搭配使用。
  • 舊版資產不受 VPC Service Controls 保護。
  • VPC Service Controls 不支援匯出至 Google 雲端硬碟。
  • service perimeter 內的資源和用戶端不支援 Earth Engine 應用程式。
  • VPC Service Controls 僅適用於Premium和專業版 Earth Engine 定價方案。如要進一步瞭解定價方案，請參閱「 Earth Engine 方案」。

如要進一步瞭解限制和解決方法範例，請參閱 Earth Engine 存取控管說明文件。

App Hub

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 apphub.googleapis.com
詳細資料

App Hub 可讓您發掘基礎架構資源，並將其歸類至應用程式。您可以使用 VPC Service Controls perimeter 限制 App Hub 資源。

在管理專案的 perimeter 限制 App Hub API 時，建議將管理專案中所有已啟用的 API 新增至同一個 perimeter。

如要進一步瞭解如何為 App Hub 設定 VPC Service Controls，請參閱「搭配使用 VPC Service Controls 與 App Hub」。

如要進一步瞭解應用程式中心，請參閱產品說明文件。
限制
如果您使用 應用程式拓撲，請將 API (apptopology.googleapis.com) 新增至服務邊界中的受限服務清單，以維持一致的限制。

對於資料夾邊界中的應用程式，VPC Service Controls 限制僅適用於管理專案中的 App Hub 互動。App Hub 可以讀取應用程式資料，並探索已啟用應用程式管理功能的資料夾中，所有子系專案的服務和工作負載，即使這些專案與管理專案不在同一個 perimeter 內也沒問題。

如果是舊版主專案，只有在主專案和服務專案位於相同 perimeter 時，才能附加服務專案。如果將先前附加的服務專案移出 perimeter，只要您未將服務專案從主專案中卸載，服務專案的資源就仍可存取。

Cloud Code

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudcode.googleapis.com
詳細資訊

Cloud Code API 可受 VPC Service Controls 保護。如要在 Cloud Code 中使用 Gemini 輔助功能，必須設定輸入政策，允許來自 IDE 用戶端的流量。詳情請參閱 Gemini 說明文件。

如要進一步瞭解 Cloud Code，請參閱產品說明文件。
限制

Cloud Code 與 VPC Service Controls 的整合沒有任何已知限制。

Commerce Org Governance API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 commerceorggovernance.googleapis.com
詳細資料

VPC Service Controls perimeter 可保護 Google 私人市場的 Commerce Org Governance API。

如要進一步瞭解 Commerce Org Governance API，請參閱產品說明文件。

限制

Commerce Org Governance API 在專案層級建立的資源 (例如採購要求和存取要求)，會顯示在組織層級，並由組織管理員審查，不會強制執行 VPC Service Controls 政策。

Google Cloud Contact Center as a Service

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 contactcenteraiplatform.googleapis.com
詳細資訊

如要限制網路流量，請使用組織政策。叫用 Google Cloud Contact Center as a Service API 的 CREATE 或 UPDATE 方法，手動套用組織政策限制。

如要進一步瞭解 Google Cloud Contact Center as a Service，請參閱產品說明文件。
限制

Google Cloud Contact Center as a Service 與 VPC Service Controls 整合，沒有已知限制。

Privileged Access Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 privilegedaccessmanager.googleapis.com
詳細資料

Privileged Access Manager API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Privileged Access Manager，請參閱產品說明文件。
限制
  • VPC Service Controls 不支援將資料夾層級或組織層級資源新增至 service perimeter。您無法使用 perimeter 保護資料夾層級或組織層級的 Privileged Access Manager 資源。VPC Service Controls 可保護專案層級的 Privileged Access Manager 資源。
  • 如要保護 Privileged Access Manager，您需要在 perimeter 中加入下列 API：
    • Privileged Access Manager API (privilegedaccessmanager.googleapis.com)
    • Cloud Resource Manager API (cloudresourcemanager.googleapis.com)
    • Cloud Logging API (logging.googleapis.com)
    • Cloud Asset API (cloudasset.googleapis.com)

服務使用情形

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 serviceusage.googleapis.com
詳細資訊

Service Usage 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解服務使用情形，請參閱產品說明文件。
限制

VPC Service Controls 不支援限制 Service Usage API 的 v1beta1 方法，並會封鎖透過受限制 VIP 對這些方法的呼叫。

Audit Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 auditmanager.googleapis.com
詳細資訊

稽核管理員的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Audit Manager，請參閱產品說明文件。
限制

Gemini Enterprise

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 discoveryengine.googleapis.com
詳細資訊

Gemini Enterprise 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Gemini Enterprise，請參閱產品說明文件。
限制

如果對含有 Gemini Enterprise 應用程式的 Google Cloud 專案啟用 VPC Service Controls，系統預設會禁止您建立或使用 Gemini Enterprise 動作，也無法在 UI 中建立動作。如要啟用及使用 VPC Service Controls 範圍內特定服務的操作，請與 Google 代表聯絡，要求加入許可清單。

您無法對含有現有資料儲存庫的專案強制執行 VPC Service Controls perimeter。如要對現有資料儲存庫強制執行 VPC Service Controls 限制，請刪除資料儲存庫，然後重新建立。

Gemini Enterprise 的 Google Antigravity

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 businessaicode.googleapis.com
詳細資訊

Gemini Enterprise 的 Google Antigravity API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Gemini Enterprise 的 Google Antigravity，請參閱產品說明文件。
限制

Gemini Enterprise 的 Google Antigravity 與 VPC Service Controls 整合，目前沒有已知限制。

Gemini Notebook Enterprise

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 discoveryengine.googleapis.com
詳細資訊

Gemini Notebook Enterprise 的 API 可受到 VPC Service Controls 保護，且產品可在服務安全防護範圍內正常使用。

如要進一步瞭解 Gemini Notebook Enterprise，請參閱產品說明文件。
限制

如果專案已啟用 VPC Service Controls，您就無法在 Gemini Notebook Enterprise 中新增網站網址做為筆記本來源。這是因為直接擷取網站內容會導致系統執行即時網頁檢索並產生輸出流量，違反 VPC Service Controls 範圍政策。在啟用 VPC Service Controls 的專案中，您可以在筆記本中新增其他來源類型，例如 Google 文件和 YouTube 網址。

Developer Connect

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 developerconnect.googleapis.com
詳細資訊

Developer Connect 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Developer Connect，請參閱產品說明文件。
限制

Parameter Manager

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 parametermanager.googleapis.com
詳細資料

Parameter Manager 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Parameter Manager，請參閱產品說明文件。
限制

Parameter Manager 必須與 Secret Manager 位於相同的 VPC Service Controls 範圍內。

Model Armor

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 modelarmor.googleapis.com
詳細資訊

Model Armor 的 API 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Model Armor，請參閱產品說明文件。
限制

Model Armor 使用區域端點，而 Private Google Access 不支援這類端點。在 perimeter 內限制 Model Armor 時，必須使用 Private Service Connect 端點，Model Armor 才能與 VPC Service Controls 搭配運作。

自動調度資源

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 autoscaling.googleapis.com
詳細資料

Autoscaling API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。
限制

自動調度與 VPC Service Controls 整合時，沒有已知限制。

地址驗證

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 addressvalidation.googleapis.com
詳細資訊

VPC Service Controls 可保護地址驗證 API，且產品可在 service perimeter 內正常使用。

如要進一步瞭解地址驗證，請參閱產品說明文件。
限制

地址驗證 與 VPC Service Controls 整合時，沒有已知限制。

Places (New)

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 places.googleapis.com
詳細資訊

Places API (新版) 可受到 VPC Service Controls 保護，且產品可在服務範圍內正常使用。

如要進一步瞭解 Places (新版)，請參閱產品說明文件。

限制

Places (New) 與 VPC Service Controls 整合時，沒有已知限制。

Google Cloud Managed Service for Apache Kafka

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 managedkafka.googleapis.com
詳細資訊

Google Cloud Managed Service for Apache Kafka 的 API 可受到 VPC Service Controls 保護，且產品可在服務邊界內正常使用。

如要進一步瞭解 Google Cloud Managed Service for Apache Kafka，請參閱產品說明文件。
限制

  • Managed Service for Apache Kafka 仰賴基礎網路服務。為保護這項服務，請務必將所有必要服務納入 service perimeter：

    • Compute Engine API (compute.googleapis.com)
    • Cloud DNS API (dns.googleapis.com)
    • 2026 年 9 月起建立的叢集，將使用 Secret Manager API (secretmanager.googleapis.com)。

  • 如要保護 Kafka Connect 連接器，請將連接器呼叫的所有服務納入 perimeter。視連接器類型而定，連接器可能會呼叫下列其中一項服務：

    • BigQuery API (bigquery.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
    • Pub/Sub API (pubsub.googleapis.com)

地理編碼

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
使用安全範圍保護？ 否。Geocoding API 無法受到服務安全防護範圍保護。不過，在周邊範圍內的專案中，地理編碼功能可正常使用。
詳細資訊

VPC Service Controls 僅保護 Geocoding API，不支援 Geocoding API v4 (geocoding.googleapis.com)。

Geocoding API 是無狀態 API，因此無法透過將其新增至 perimeter 的方式，強制執行 VPC Service Controls 限制。

如要進一步瞭解地理編碼，請參閱產品說明文件。
限制

Geocoding 與 VPC Service Controls 的整合沒有已知限制。

Compliance Manager

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudsecuritycompliance.googleapis.com
詳細資料

Compliance Manager 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Compliance Manager，請參閱產品說明文件。
限制

Unified Maintenance

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 maintenance.googleapis.com
詳細資料

透過 Unified Maintenance，您可以在單一位置集中查看支援 Google Cloud 產品的預定中斷性維護事件。

您可透過為指定範圍設定的管理專案，存取個別專案中的資源維護活動。如要透過管理專案限制存取權，請將管理專案新增至與個別專案相同的 VPC Service Controls 範圍，或移除管理專案層級的 IAM 權限。

如要進一步瞭解 Unified Maintenance，請參閱產品說明文件。
限制

整合 Unified Maintenance 與 VPC Service Controls 時，沒有已知限制。

Cloud Location Finder

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 cloudlocationfinder.googleapis.com
詳細資訊

Cloud Location Finder 可讓您根據鄰近程度、地理位置和碳足跡，找出並篩選 Google Cloud、Google Distributed Cloud、Microsoft Azure、Amazon Web Services 和 Oracle Cloud Infrastructure 各區域和可用區的雲端位置。

您可以使用 VPC Service Controls 保護 Cloud Location Finder API，並在服務範圍內正常使用 Cloud Location Finder API。

如要進一步瞭解 Cloud Location Finder，請參閱產品說明文件。
限制

Cloud Location Finder 與 VPC Service Controls 整合，沒有已知限制。

Conversational Analytics API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 geminidataanalytics.googleapis.com
詳細資訊

service perimeter 只能限制 Conversational Analytics API 服務端點。如要對 BigQuery 和 Looker 等對話式數據分析 API 的資料來源強制執行資料保護措施，您也必須在 service perimeter 中限制這些資料來源和對應的服務。

如要進一步瞭解對話式數據分析 API，請參閱產品說明文件。
限制

服務安全防護範圍有助於保護 Conversational Analytics API，而 IAM 則有助於控管 API 和基礎資料來源的存取權。如要限制在 perimeter 內使用 Conversational Analytics API 的資料，您必須具備必要的 IAM 權限，才能存取 API 和 API 內的資料來源。

Customer Experience Agent Studio

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 ces.googleapis.com
詳細資訊

在服務安全防護範圍中限制 CX Agent Studio API (ces.googleapis.com) 時，請一併將 CX Insights API (contactcenterinsights.googleapis.com) 新增至安全防護範圍設定的受限服務清單。詳情請參閱「為 CX Agent Studio 設定 VPC Service Controls」。

如要進一步瞭解 Customer Experience Agent Studio，請參閱產品說明文件。
限制

瞭解搭配使用 CX Agent Studio 與 VPC Service Controls 的限制。

Vector Search 2.0

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 vectorsearch.googleapis.com
詳細資料

Vector Search 2.0 的 API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 向量搜尋 2.0，請參閱產品說明文件。
限制

為保護 Vector Search 2.0，請將下列服務新增至範圍設定的受限服務清單：

  • Agent Platform API (aiplatform.googleapis.com) 用於自動嵌入。
  • Cloud Storage (storage.googleapis.com) 用於大量物件作業。

Google Cloud Managed Lustre

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 lustre.googleapis.com
詳細資料

Google Cloud Managed Lustre 的 API 可受 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Google Cloud Managed Lustre，請參閱產品說明文件。
限制

  • 如要在 Managed Lustre 和 Cloud Storage 之間移轉資料，含有 Cloud Storage bucket 的專案必須與 Managed Lustre 執行個體位於相同的 service perimeter。如要匯入或匯出 perimeter 以外的資料，您必須設定輸出規則，允許 Managed Lustre 服務代理 (service-PROJECT_NUMBER@gcp-sa-lustre.iam.gserviceaccount.com) 存取 bucket。

  • 如果您同時使用 Shared VPC 和 VPC Service Controls，則包含網路的主機專案，以及包含 Managed Lustre 執行個體的服務專案，都必須位於相同 perimeter 內。如果使用 perimeter 分隔主專案和服務專案，現有執行個體可能會無法使用，也無法建立新的執行個體。

App Topology

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 apptopology.googleapis.com
詳細資訊

App Topology 的 API 可受 VPC Service Controls 保護，產品可在 service perimeter 內正常使用。

如要進一步瞭解 App Topology，請參閱產品說明文件。
限制
啟用 App Topology API 後，App Topology 會為 App Hub 應用程式、Cloud Trace 追蹤記錄和 Cloud Monitoring 快訊新增有限中繼資料的存取路徑。中繼資料範例包括追蹤記錄 span 開始和結束時間，以及 App Topology 應用程式 ID。

對於資料夾邊界中的應用程式，App Hub 的 VPC Service Controls 限制僅適用於管理專案中的 App Hub 互動。因此，即使這些專案與管理專案不在同一週邊，應用程式拓撲仍可讀取已啟用應用程式管理功能的資料夾中，所有子代專案的應用程式、探索到的服務和工作負載資料。

Universal Ledger

狀態 預覽。這項產品與 VPC Service Controls 的整合功能目前為預先發布版，適用於更廣泛的測試和用途，但尚未完全支援正式環境。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 universalledger.googleapis.com
詳細資料

Universal Ledger API 在共用的多租戶網路上運作，提交至總帳的資料會歸類為「交易資料」。根據服務專屬條款，「交易資料」(包括交易酬載、公開金鑰和加密編譯簽章) 明確排除在「客戶資料」的定義之外。由於帳本網路具有共用性質，提交至帳本的交易資料將可供所有授權帳本參與者存取。因此，客戶個別的 VPC Service Controls 範圍設定無法限制或包含這類資料。

如要進一步瞭解 Universal Ledger，請參閱產品說明文件。
限制

雖然 VPC Service Controls 會保護 API 輸入和輸出流量，但不會在交易提交至共用帳本後強制執行資料瀏覽權限。為防止資料竊取，請使用 IAM 拒絕政策限制修改資料的方法，例如 universalledger.endpoints.submitTransaction。這種做法可防止未經授權的使用者從 perimeter 內部發布資料，並允許唯讀存取權。

Agent Identity API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 agentidentity.googleapis.com
詳細資訊

如要在服務安全防護範圍內使用此 API，用戶端必須透過受限制的虛擬 IP (restricted.googleapis.com) 轉送要求。

如要進一步瞭解 Agent Identity API，請參閱產品說明文件。
限制

Agent Identity API 與 VPC Service Controls 整合時，沒有已知限制。

Agent Identity Credentials API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 agentidentitycredentials.googleapis.com
詳細資訊

如要在服務安全防護範圍內使用此 API，用戶端必須透過受限制的虛擬 IP (restricted.googleapis.com) 轉送要求。

如要進一步瞭解 Agent Identity Credentials API，請參閱產品說明文件。
限制

Agent Identity Credentials API 與 VPC Service Controls 整合，沒有已知限制。

Observability API

狀態 GA。VPC Service Controls 完全支援這項產品整合。
要使用 perimeter 保護嗎？ 可以。您可以設定 perimeter 來保護這項服務。
服務名稱 observability.googleapis.com
詳細資料

API for Observability API 可受到 VPC Service Controls 保護，且產品可在 service perimeter 內正常使用。

如要進一步瞭解 Observability API，請參閱產品說明文件。
限制

Observability API 與 VPC Service Controls 整合時，沒有已知限制。

詳情請參閱「支援和不支援的服務」。

管理不支援服務的存取權

如果 Google 服務未列於本頁面，表示該服務尚未完全整合 VPC Service Controls。您的私人連線設定決定了您管理這些不支援服務存取權的方式：

  • 使用受限制的 VIP (restricted.googleapis.com) 或搭配 vpc-sc 套件的 Private Service Connect：系統會封鎖不支援服務的存取權。

  • 使用私人 VIP (private.googleapis.com) 或 Private Service Connect 搭配 all-apis 套裝組合：系統預設允許存取不支援的服務。如要控管這項存取權並降低資料竊取風險，您必須設定 VPC Service Controls 服務模式。服務模式可讓您明確定義服務範圍內允許哪些不支援服務的網址模式。

詳情請參閱「VPC Service Controls 的私人連線」。

受限制 VIP 支援的服務

受限制虛擬 IP (VIP) 可讓 service perimeter 內的 VM 呼叫 Google Cloud 服務，而不將要求公開至網際網路。如要查看受限制 VIP 支援的完整服務清單，請參閱「受限制 VIP 支援的服務」。

不支援的服務

如果您嘗試使用 gcloud 指令列工具或 Access Context Manager API 限制不支援的服務，將會導致系統發生錯誤。

VPC Service Controls 會封鎖支援服務資料的跨專案存取權。此外，受限制 VIP 可用來禁止工作負載呼叫不支援的服務。

其他已知限制

本節說明使用 VPC Service Controls 時，某些Google Cloud 服務、產品和介面會受到的已知限制。

如要瞭解 VPC Service Controls 支援產品的限制，請參閱支援產品表格。

如要進一步瞭解如何解決 VPC Service Controls 問題，請參閱「疑難排解」頁面。

AutoML API

搭配使用 AutoML API 與 VPC Service Controls 時，須遵守下列限制：

  • 您無法將支援的區域端點 (例如 eu-automl.googleapis.com) 新增至 perimeter 的受限服務清單。保護 automl.googleapis.com 服務時，perimeter 也會保護支援的區域端點，例如 eu-automl.googleapis.com。

  • 使用 service perimeter 保護 automl.googleapis.com 時，所有與 VPC Service Controls 整合且在 perimeter 內使用的 AutoML 產品，其存取權都會受到影響。您必須為該範圍內使用的所有整合式 AutoML 產品設定 VPC Service Controls 範圍。

    如要全面保護 AutoML API，請在 perimeter 中加入下列所有 API：

    • AutoML API (automl.googleapis.com)
    • Cloud Storage API (storage.googleapis.com)
    • Compute Engine API (compute.googleapis.com)
    • BigQuery API (bigquery.googleapis.com)

App Engine

  • VPC Service Controls 不支援 App Engine (標準環境和彈性環境)。請勿將 App Engine 專案納入 service perimeter。

    不過，您可以允許在 service perimeter「外部」專案中建立的 App Engine 應用程式，讀取和寫入 perimeter「內部」受保護服務的資料。如要允許應用程式存取受保護服務的資料，請建立存取層級，並將專案的 App Engine 服務帳戶納入其中。這項設定不會啟用在 service perimeter 內使用 App Engine 的功能。

Bare Metal 解決方案

  • 將 VPC Service Controls 連線至 Bare Metal 解決方案 環境，不會維護任何服務控制項保證。

  • Bare Metal 解決方案 API 可新增至安全 perimeter。不過，VPC Service Controls perimeter 不會擴充至區域擴充功能中的 Bare Metal 解決方案 環境。

Blockchain Node Engine

  • VPC Service Controls 僅保護 Blockchain Node Engine API。建立節點時，您仍須使用 Private Service Connect，指明該節點適用於使用者設定的私人網路。

  • 對等互連流量不會受到 VPC Service Controls 或 Private Service Connect 影響，仍會繼續使用公開網際網路。

用戶端程式庫

  • 用戶端必須使用已於 2018 年 11 月 1 日或之後更新的用戶端程式庫。

  • 用戶端必須使用已於 2018 年 11 月 1 日或之後更新的服務帳戶金鑰或 OAuth2 用戶端中繼資料。使用權杖端點的舊版用戶端必須改用新版金鑰資料或用戶端中繼資料指定的端點。

Cloud Billing

  • VPC Service Controls 不支援 Cloud Billing。您可以將 Cloud Billing 資料匯出至受服務範圍保護的專案中的 Cloud Storage bucket 或 BigQuery 執行個體，而不必設定存取層級或輸入規則。

Cloud Deployment Manager

  • VPC Service Controls 不支援 Deployment Manager。使用者或許能呼叫符合 VPC Service Controls 規範的服務，但請勿依賴這項功能，因為可能會中斷。

  • 如要解決這個問題，可以將 Deployment Manager 服務帳戶 (PROJECT_NUMBER@cloudservices.gserviceaccount.com) 新增至存取層級，允許呼叫受 VPC Service Controls 保護的 API。

Cloud Shell

VPC Service Controls 不支援 Cloud Shell。VPC Service Controls 會將 Cloud Shell 視為 service perimeter 外部，並拒絕存取 VPC Service Controls 保護的資料。不過，如果啟動 Cloud Shell 的裝置符合 service perimeter 的存取層級規定，VPC Service Controls 就會允許存取 Cloud Shell。

Gemini Cloud Assist

自 2026 年 4 月 13 日起，VPC Service Controls 將不再支援 Gemini Cloud Assist 調查 (預先發布版) 功能。這項異動將在一週內逐步實施。從 VPC Service Controls perimeter 內存取 Gemini Cloud Assist 調查工具 (搶先版) 時，系統會封鎖存取權。如要繼續使用這項功能，您必須從任何 VPC Service Controls 範圍外提出要求。詳情請參閱「已淘汰的 Gemini Cloud Assist 調查 VPC Service Controls 支援」。

Firebase

  • 如果專案位於限制 apikeys.googleapis.com 的 perimeter 內，在專案上啟用 Firebase 會導致 NO_MATCHING_ACCESS_LEVEL 違規。如要解決這項違規事項，請建立輸入規則，授予 Firebase 服務帳戶 apikeys.googleapis.com 的存取權。

Google Cloud 控制台

  • 由於 Google Cloud 控制台只能透過網際網路存取，因此會視為在服務安全防護範圍外。套用 service perimeter 後，受保護服務的 Google Cloud 控制台介面可能會部分或完全無法存取。舉例來說，如果您使用 perimeter 保護 Logging，就無法在 Google Cloud 控制台中存取 Logging 介面。

    如要允許從 Google Cloud 控制台存取受 perimeter 保護的資源，您必須為公開 IP 範圍建立存取層級，其中包含要使用 Google Cloud 控制台搭配受保護 API 的使用者機器。舉例來說，您可以將私有網路 NAT 閘道的公開 IP 範圍新增至存取層級，然後將該存取層級指派給服務 perimeter。

    如要限制只有特定使用者能透過 Google Cloud 控制台存取 perimeter，也可以將這些使用者加入存取層級。在這種情況下，只有指定的使用者可以存取Google Cloud 控制台。

  • 如果網路已啟用 Private Google Access (包括由 Cloud NAT 隱含啟用的網路)，即使要求來源網路和目標資源位於相同 perimeter，透過 Google Cloud 控制台提出的要求仍可能遭到封鎖。這是因為 VPC Service Controls 不支援透過 Private Google Access 存取Google Cloud 控制台。

Google Cloud 中繼資料伺服器

私人服務連線

  • 私人服務連線支援在共用虛擬私有雲網路中部署服務執行個體。如果您搭配 VPC Service Controls 使用這項設定，請確認提供網路的主機專案，以及包含服務執行個體的服務專案，都位於相同的 VPC Service Controls 範圍內。否則要求可能會遭到封鎖，服務執行個體也可能無法正常運作。

    如要進一步瞭解支援私人服務存取權的服務，請參閱「支援的服務」。

GKE Multi-cloud

  • VPC Service Controls 僅適用於 Google Cloud專案中的資源。代管 GKE Multi-Cloud 叢集的第三方雲端環境不會提供任何服務控制項保證。

Google Distributed Cloud

Migration Center

  • 啟用 service perimeter 後，就無法將基礎架構資料轉移至 StratoZone。

員工身分聯盟

員工身分聯盟管理功能 (包括員工集區設定 API) 不支援 VPC Service Controls。不過，同時支援員工身分聯盟和 VPC Service Controls 的 Google Cloud 產品會按照說明文件運作，並須接受 VPC Service Controls 政策檢查。此外，您也可以在 VPC Service Controls 的輸入或輸出規則中，使用第三方身分，例如員工集區使用者和 Workload Identity。

如果 Security Token Service API 要求的目標對象是員工身分聯盟集區 (組織層級資源)，您必須設定輸出規則。這是因為 VPC Service Controls 不支援直接將組織層級資源新增至 perimeter。下列輸出規則允許源自 perimeter 的要求，連線至與組織層級工作團隊集區互動的工作團隊 STS API：

- egressTo:
    operations:
      - serviceName: 'sts.googleapis.com'
        methodSelectors:
          - method: '*'
    resources:
      - '*'
  egressFrom:
    identityType: ANY_IDENTITY

後續步驟